JP2023173249A - 情報処理装置、情報処理装置の制御方法およびプログラム - Google Patents

Abstract

【課題】不正アクセスの攻撃を検出した場合に、監査ログの破損やロストを防ぐことができる情報処理装置、情報処理装置の制御方法およびプログラムを提供することを目的とする。
【解決手段】複数の機能を有する複合機１０００は、複数の機能に対応する種別ごとに監査ログ５００を記録する監査ログ制御部３０９と、監査ログ５００へのアクセスの要求があった際に、そのアクセスの要求が不正アクセスであるかを判定する不正アクセス判定部３０８と、不正アクセス判定部３０８の判定結果が、そのアクセスの要求が不正アクセスであるとする場合、複数の機能のうち、そのアクセスの要求を受けた監査ログ５００の種別に関連する機能について停止制御を行う制御部１と、を備える。
【選択図】図３

Description

本発明は、情報処理装置、情報処理装置の制御方法およびプログラムに関する。

情報機器や複合機が設置される場所や利用者の環境は多様化しており、ファイアウォール内だけではなく、インターネットなどの外部ネットワークから直接アクセスされる利用方法も増加している。また、社内・社外問わず、情報漏えいの発生や不正操作による攻撃が問題となっている。そういった状況から、利用環境に関わらず、機器の使用状況の把握、監査、情報漏えい防止を目的として、機器の動作をログとして記録する機能が知られており、このようなログは監査ログと呼ばれている。情報漏えいや機器への不正なアクセスが発覚した際には、監査ログを参照することで、それら不正な操作の確認を行なうことが可能となる。この監査ログは、性悪説に基づいて厳密に防御を行うゼロトラストセキュリティ環境でも重要な役割を持っており、機器への不正操作の検出や問題が発生時に発生要因を特定するといった目的で利用されている。そのため、ゼロトラストセキュリティ環境においては、監査ログが悪意をもった攻撃やアクセスを受けた場合、監査ログを保全する防御策が必須である。

特許文献１には、アクセス管理の可否を判断するためのホワイトリストへの改変要求に対して、要求元のモジュールに正当な権限なしと判断した場合、改変要求をリジェクトする技術が開示されている。

特開２０２１―５３３７号公報

しかしながら、特許文献１の方法では、その後も継続的に不正なアクセスが行われるなどの攻撃を受けてしまう可能性と、攻撃により複合機が保持する監査ログの破損やロストにつながる可能性があり、それらを防ぐことができないという問題があった。

本発明は、上記の課題に鑑みてなされたものである。本発明は、不正アクセスの攻撃を検出した場合に、監査ログの破損やロストを防ぐことができる情報処理装置、情報処理装置の制御方法およびプログラムを提供することを目的とする。

上記目的を達成するために、本発明の情報処理装置は、１または複数の機能を有する情報処理装置であって、前記１または複数の機能に対応する種別ごとに監査ログを記録する記録手段と、前記監査ログへのアクセスの要求があった際に、該アクセスの要求が不正アクセスであるかを判定する判定手段と、前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、前記１または複数の機能のうち、該アクセスの要求を受けた前記監査ログの種別に関連する機能について停止制御を行う制御手段と、を備えることを特徴とする。

本発明によれば、不正アクセスの攻撃を検出した場合に、監査ログの破損やロストを防ぐことができる。

本発明の第１実施形態に係る複合機を含むシステム構成を示すブロック図である。 複合機および管理サーバのハードウェア構成を示すブロック図である。 複合機および管理サーバのソフトウェア構成を示すブロック図である。 管理サーバと複合機との間で実行される監査ログ取得指示から監査ログ送信までの流れを示すシーケンス図である。 複合機のＨＤＤに書き込まれる監査ログの構成を示すブロック図である。 複合機の監査ログの取得に関する定常稼働状態を示すフローチャートである。 第１実施形態に係る複合機で監査ログを保全する制御を説明するためのフローチャートである。 不正アクセス判定部が判定に用いるアクセス許可パターンを説明するための図である。 ＵＩ制御部が複合機の操作パネルに表示する通知画面の一例を示す図である。 第１実施形態において、機能の無効化を解除する場合の複合機の制御を説明するためのフローチャートである。 第２実施形態に係る複合機で監査ログを保全する制御を説明するためのフローチャートである。 第２実施形態において、機能の無効化を解除する場合の複合機の制御を説明するためのフローチャートである。

以下、本発明の各実施形態について図面を参照しながら詳細に説明する。しかしながら、以下の各実施形態に記載されている構成はあくまで例示に過ぎず、本発明の範囲は各実施形態に記載されている構成によって限定されることはない。例えば、本発明を構成する各部は、同様の機能を発揮し得る任意の構成のものと置換することができる。また、任意の構成物が付加されていてもよい。また、各実施形態のうちの、任意の２以上の構成（特徴）を組み合わせることもできる。

各実施形態では、本発明の情報処理装置の一例として、ユーザ認証機能を持つ複合機（デジタル複合機／ＭＦＰ／Ｍｕｌｔｉ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）を説明する。しかしながら、一般的にユーザ認証機能は、ＳＦＰ（Ｓｉｎｇｌｅ Ｆｕｎｃｔｉｏｎ Ｐｅｒｉｐｈｅｒａｌ）でも使用される。そのため、本発明の範囲は、複合機に限定されず、情報処理装置であればよく、画像形成装置や画像処理装置をも含む。

＜第１実施形態＞
以下、図１～図１０を参照して、第１実施形態について説明する。図１は、本発明の第１実施形態に係る複合機１０００（情報処理装置）を含むシステム構成を示すブロック図である。複合機１０００は、上記のユーザ認証機能に加えて、スキャン機能、プリント機能、および監査ログ機能などを有し、スキャンした画像データ、印刷データ、およびデバイスの管理情報などを、各装置間で送受信が可能である。この送受信は、他の情報処理装置を相手とする内部ネットワーク１００を介して行われる。

なお、本実施形態では、監査ログを、ジョブログ、認証ログ、ＵＩ操作ログ、画像ログ、ネットワーク通信時のパケット情報などとする。ジョブログは、誰が、いつ、どこで、何の処理を行ったかというユーザやデバイスの動作の履歴を蓄積したログである。認証ログは、誰が、いつ、どこで、認証を行ったかというデータを蓄積したログである。ＵＩ操作ログは、ユーザインターフェースを使用した操作（ＵＩ操作）の履歴を蓄積したログである。画像ログは、印刷や原稿の読み取りを実行した際の画像データを蓄積したログである。ただし、複合機１０００が蓄積し扱う監査ログの種別は、管理者が何の情報を監査したいかによって変わってくる。そのため、管理者が、例えばジョブログやＵＩ操作ログのみを複合機１０００に蓄積し、参照させる場合もあるので、監査ログの種別は、上記の種別に限定されるものではない。

複合機１０００は、内部ネットワーク１００および外部ネットワーク２００を介して、管理サーバ２０００とも通信が可能である。内部ネットワーク１００は、オフィス内のファイアウォールやゲートウェイで保護された社内ネットワークであり、外部ネットワーク２００は、インターネットから直接アクセスできるネットワークであるが、上記のネットワークに限定されるものではない。ＰＣ１１は、内部ネットワーク１００を介して、複合機１０００に対してユーザ認証や参照・操作することが可能である。管理サーバ２０００は、外部ネットワーク２００を介して、複合機１００１，１００２や、ＰＣ１２、モバイル端末１３と通信可能である。複合機１００１，１００２は、外部ネットワーク２００に直接接続された複合機である。複合機１００１は、コワーキングスペースなどの共有スペースに、複合機１００２は、在宅勤務用の家庭内に設置されているが、上記の設置場所に限定されるものではない。ＰＣ１２やモバイル端末１３は、外部ネットワーク２００を介して、複合機１００１，１００２に対してユーザ認証や参照・操作することが可能である。複合機１０００～１００２では、装置自体で印刷や原稿の読み取りが行われるだけでなく、管理サーバ２０００経由で印刷やスキャンデータの格納が実行される。

なお、図１に示すシステムは、複合機１０００～１００２、管理サーバ２０００、ＰＣ１１，１２、およびモバイル端末１３を有し、それぞれ図示された台数のみ存在するが、それぞれ複数台数存在してもよく、図示された構成に限定されるものではない。また、管理サーバ２０００は、別のクラウドストレージと外部ネットワーク２００を介して接続されていてもよく、図１に示すように接続されたものに限定されるものではない。

図２（Ａ）は、複合機１０００のハードウェア構成を示すブロック図である。ＣＰＵ２０１は、複合機１０００のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＯＭ２０２は、リードオンリーメモリで、複合機１０００のブートプログラムや固定パラメータなどを格納している。ＲＡＭ２０３は、ランダムアクセスメモリで、ＣＰＵ２０１が複合機１０００を制御する際に、プログラムや一時的なデータの格納などに使用される。ＨＤＤ２０４は、ハードディスクドライブで、システムソフトウェア、アプリケーション、およびジョブログ、認証ログ、ＵＩ操作ログ、画像ログからなる監査ログの各データを格納する。ＣＰＵ２０１は、ＲＯＭ２０２に記憶されているブートプログラムを実行し、ＨＤＤ２０４に格納されているプログラムをＲＡＭ２０３に展開し、その展開したプログラムを実行することにより、複合機１０００の動作を制御する。ネットワークＩ／Ｆ制御部２０５は、内部ネットワーク１００とのデータの送受信を制御する。スキャナＩ／Ｆ制御部２０６は、スキャナ２１１による原稿の読み取りを制御する。プリンタＩ／Ｆ制御部２０７は、プリンタ２１０による印刷処理などを制御する。パネル制御部２０８は、タッチパネル式の操作パネル２０９を制御し、各種情報の表示、ユーザからの指示入力を制御する。バス２１２は、ＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、ＨＤＤ２０４、ネットワークＩ／Ｆ制御部２０５、スキャナＩ／Ｆ制御部２０６、プリンタＩ／Ｆ制御部２０７、およびパネル制御部２０８を相互に接続している。バス２１２を介して、ＣＰＵ２０１からの制御信号や各構成要素間のデータ信号が送受信される。なお、複合機１００１，１００２も、図２（Ａ）と同様のハードウェア構成となる。

図２（Ｂ）は、管理サーバ２０００のハードウェア構成を示すブロック図である。ＣＰＵ２２１は、管理サーバ２０００のソフトウェアプログラムを実行し、装置全体の制御を行う。ＲＯＭ２２２は、リードオンリーメモリで、管理サーバ２０００のブートプログラムや固定パラメータなどを格納している。ＲＡＭ２２３は、ランダムアクセスメモリで、ＣＰＵ２２１が管理サーバ２０００を制御する際に、プログラムや一時的なデータの格納などに使用される。ＨＤＤ２２４は、ハードディスクドライブで、システムソフトウェア、アプリケーション、および各種データを格納する。ＣＰＵ２２１は、ＲＯＭ２２２に記憶されているブートプログラムを実行し、ＨＤＤ２２４に格納されているプログラムをＲＡＭ２２３に展開し、その展開したプログラムを実行することにより、管理サーバ２０００の動作を制御する。ネットワークＩ／Ｆ制御部２２５は、外部ネットワーク２００とのデータの送受信を制御する。

本実施形態において、管理サーバ２０００は、操作パネルを持っていない構成を想定している。この場合、管理サーバ２０００は、ネットワークＩ／Ｆ制御部２２５を介して、ＰＣ１２やモバイル端末１３を用いた操作が可能となる。本実施形態では、ＰＣ１２やモバイル端末１３に表示する操作部をリモートＵＩと称する。バス２３２は、ＣＰＵ２２１、ＲＯＭ２２２、ＲＡＭ２２３、ＨＤＤ２２４、およびネットワークＩ／Ｆ制御部２２５を相互に接続している。バス２３２を介して、ＣＰＵ２２１からの制御信号や各構成要素間のデータ信号が送受信される。

図３（Ａ）は、複合機１０００のソフトウェア構成を示すブロック図である。なお、図３（Ａ）に示す各ソフトウェアモジュールは、ＣＰＵ２０１がＨＤＤ２０４に格納されたプログラムをＲＡＭ２０３に読み出して実行することにより実現される。ネットワークドライバ３０１は、内部ネットワーク１００に接続されるネットワークＩ／Ｆ制御部２０５を制御して、内部ネットワーク１００を介して外部とデータの送受信を行なう。ネットワーク制御部３０２は、ＴＣＰ／ＩＰなどのネットワーク通信プロトコルにおけるトランスポート層以下の通信を制御して、データの送受信を行なう。通信制御部３０３は、複合機１０００がサポートする複数の通信プロトコルの制御を行うためのモジュールである。複合機１０００がサポートするＴＬＳなどの暗号化通信も、通信制御部３０３によって実行される。

暗号化処理部３０４は、データの暗号化および復号処理、電子署名の生成・検証、ハッシュ値生成などの各種暗号処理を行うためのモジュールである。通信制御部３０３によって行われるＴＬＳなどの暗号化通信処理においても、暗号化処理部３０４で暗号化処理が行われる。デバイス制御部３０５は、複合機１０００の制御コマンドや制御データを生成して、複合機１０００を統括的に制御するためのモジュールである。操作パネル２０９およびパネル制御部２０８やネットワークＩ／Ｆ制御部２０５を経由して指示されたユーザ認証は、デバイス制御部３０５によって実行される。デバイス制御部３０５は、複合機１０００の動作履歴を監査ログとしてＨＤＤ２０４に書き込むこと（記録）を、不正アクセス判定部３０８を通して監査ログ制御部３０９（記録手段）へ依頼し、監査ログ制御部３０９は、監査ログをＨＤＤ２０４に書き込む。

印刷／読取処理部３０６は、プリンタ２１０による印刷や、スキャナ２１１による原稿の読み取りなどの機能を実行するためのモジュールである。複合機１０００に対する印刷や原稿の読み取りなどの指示は、操作パネル２０９を介したユーザの指示によって実行することも可能である。操作パネル２０９およびパネル制御部２０８の制御は、ＵＩ制御部３０７によって行われる。不正アクセス判定部３０８（判定手段）は、監査ログ制御部３０９を通じて実行される、監査ログの取得および監査ログの書き込みの全てのアクセスを監視し、それらのアクセスの正当性を判定するためのモジュールである。

以下では、図３（Ａ）に示す複合機１０００の各ソフトウェアモジュールを実現する制御部を、図２（Ａ）に示すように、制御部１（制御手段）と表記する。制御部１は、複合機１０００のＣＰＵ２０１、ＲＯＭ２０２、ＲＡＭ２０３、ＨＤＤ２０４などからなる。以降のシーケンス図やフローチャートにおいて、複合機１０００が処理する部分は、制御部１のＲＯＭ２０２、ＲＡＭ２０３、ＨＤＤ２０４のいずれかの記憶部に記憶され、ＣＰＵ２０１により行われる。なお、複合機１００１，１００２の各ソフトウェアモジュールや制御部も、複合機１０００と同様である。

図３（Ｂ）は、管理サーバ２０００のソフトウェア構成を示すブロック図である。なお、図３（Ｂ）に示す各ソフトウェアモジュールは、ＣＰＵ２２１がＨＤＤ２２４に格納されたプログラムをＲＡＭ２２３に読み出して実行することにより実現される。ネットワークドライバ３２１は、外部ネットワーク２００に接続されるネットワークＩ／Ｆ制御部２２５を制御して、外部ネットワーク２００を介して外部とデータの送受信を行なう。ネットワーク制御部３２２は、ＴＣＰ／ＩＰなどのネットワーク通信プロトコルにおけるトランスポート層以下の通信を制御して、データの送受信を行なう。通信制御部３２３は、管理サーバ２０００がサポートする複数の通信プロトコルの制御を行うためのモジュールである。管理サーバ２０００がサポートするＴＬＳなどの暗号化通信も、通信制御部３２３によって実行される。

暗号化処理部３２４は、データの暗号化および復号処理、電子署名の生成・検証、ハッシュ値生成などの各種暗号処理を行うためのモジュールである。通信制御部３２３によって行われるＴＬＳなどの暗号化通信処理においても、暗号化処理部３２４で暗号化処理が行われる。デバイス制御部３２５は、管理サーバ２０００の制御コマンドや制御データを生成して、管理サーバ２０００を統括的に制御するためのモジュールである。デバイス制御部３２５は、複合機１０００の動作履歴を監査ログとしてＨＤＤ２２４に書き込む。管理サーバ２０００に対する操作は、ネットワークＩ／Ｆ制御部２２５を介してＰＣ１２やモバイル端末１３から操作可能となるリモートＵＩによって実行される。リモートＵＩの制御は、ＵＩ制御部３２７によって行われる。

以下では、図３（Ｂ）に示す管理サーバ２０００の各ソフトウェアモジュールを実現する制御部を、図２（Ｂ）に示すように、制御部２と表記する。制御部２は、管理サーバ２０００のＣＰＵ２２１、ＲＯＭ２２２、ＲＡＭ２２３、ＨＤＤ２２４などからなる。以降のシーケンス図やフローチャートにおいて、管理サーバ２０００が処理する部分は、制御部２のＲＯＭ２２２、ＲＡＭ２２３、ＨＤＤ２２４のいずれかの記憶部に記憶され、ＣＰＵ２２１により行われる。

図４は、管理サーバ２０００と複合機１０００～１００２との間で実行される監査ログ取得指示から監査ログ送信までの流れを示すシーケンス図である。本実施形態では、ユーザ認証や操作パネル２０９による印刷指示の受付、印刷制御などを行う複合機１０００～１００２と、複合機１０００～１００２から監査ログを取得する管理サーバ２０００とに加えて、ＰＣ１２が存在する。ＰＣ１２は、リモートＵＩで監査ログ取得指示を管理サーバ２０００と共有するものである。なお、複合機１０００～１００２は、何れの装置も同様に構成されるため、以下詳細な説明は、複合機１０００を代表として記述する。また、管理サーバ２０００と複合機１０００～１００２は、別々の装置構成になっているが、管理サーバ２０００の機能を複合機１０００～１００２の何れかの装置が内包する構成でもよく、別々の装置構成に限定されるものではない。

図４のシーケンスは、管理サーバ２０００に対する監査ログ取得指示の受付に応答して開始される。なお、シーケンスのステップＳ４０１～４１７は、管理サーバ２０００において、制御部２のＣＰＵ２２１がＨＤＤ２２４に格納されたプログラムをＲＡＭ２２３に読み出して実行することにより実現される。先ず、ステップＳ４０１で、管理サーバ２０００の制御部２は、ＰＣ１２に表示しているリモートＵＩを介して、ユーザから監査ログ取得指示を受け付ける。監査ログ取得指示は、管理サーバ２０００に対する取得指示（下記のステップＳ４０２の監査ログ取得要求）のもと情報である。監査ログ取得指示には、取得対象が複合機１０００～１００２の何れか、また、各取得対象から取得する監査ログの種別、日時の範囲などの詳細情報が含まれる。

次に、ステップＳ４０２で、ＰＣ１２は、管理サーバ２０００に対して、監査ログ取得要求を指示する。次に、ステップＳ４０３で、管理サーバ２０００の制御部２は、受信した監査ログ取得要求の詳細情報に基づき、取得対象のリストを生成する処理を行う。その後、ステップＳ４０４で、管理サーバ２０００の制御部２は、複合機１０００に対して、監査ログの取得を指示し、ステップＳ４０５で、複合機１０００は、監査ログ取得処理を行う。そして、ステップＳ４０６で、複合機１０００は、ステップＳ４０５の結果を管理サーバ２０００に返す。続いて、ステップＳ４０４～４０６と同様な処理が、ステップＳ４０７～４０９において、管理サーバ２０００と複合機１００１の間で行われ、ステップＳ４１０～４１２において、管理サーバ２０００と複合機１００２の間で行われる。

なお、図４では、複合機１０００～１００２と同様な構成の他の複合機３０００が複数台数存在し、それぞれ取得対象に加えられている場合が想定されている。この場合、ステップＳ４０４～４０６と同様な処理が、例えばステップＳ４１３～４１５で示すように、管理サーバ２０００とそれぞれの他の複合機３０００の間で行われる。次に、ステップＳ４１６で、管理サーバ２０００の制御部２は、ステップＳ４０６，４０９，４１２，４１５で返ってきた監査ログを結合する。そして、ステップＳ４１７で、管理サーバ２０００の制御部２は、ステップＳ４１６の結果をＰＣ１２に返す。

図５は、複合機１０００のＨＤＤ２０４に書き込まれる監査ログ５００の構成を示すブロック図である。監査ログ５００は、コピージョブログ５０１、スキャンジョブログ５０２、プリントジョブログ５０３、ＦＡＸジョブログ５０４、認証ログ５０５、ＵＩ操作ログ５０６、および画像ログ５０７から構成されている。このようにして、監査ログ５００の各データは、データ構造として種別毎に独立して管理される。以下では、コピージョブログ５０１、スキャンジョブログ５０２、プリントジョブログ５０３、およびＦＡＸジョブログ５０４を、各ジョブ種に対応するログとしてまとめて称する場合、ジョブログ５０８と表記する。ジョブログ５０８は、複合機１０００が各ジョブ種の動作をする都度、必要な監査情報がＨＤＤ２０４に書き込まれるログである。このようなジョブログ５０８を含む監査ログ５００の各データは、複合機１０００の各種の動作に伴い、デバイス制御部３０５からの書き込み依頼を不正アクセス判定部３０８を通して受けた監査ログ制御部３０９によって、ＨＤＤ２０４に書き込み保存される。

また、監査ログ５００の各データは、図４に示すように、外部ネットワーク２００に接続された管理サーバ２０００が複合機１０００から取得可能に構成されている。複合機１０００では、管理サーバ２０００から監査ログ取得を指示されると、通信制御部３０３は、デバイス制御部３０５、不正アクセス判定部３０８、および監査ログ制御部３０９を経由して、監査ログ５００の各データを取得する。さらに、通信制御部３０３は、管理サーバ２０００へ監査ログ５００の各データを送信する。なお、本実施形態において、監査ログ５００の各データは、データ構造として種別毎に独立して管理されることを想定しているが、必ずしも独立して管理されなくてもよい。つまり、監査ログ５００の各データは、各ジョブ種が識別可能にＨＤＤ２０４に書き込まれていればよい。具体的には、例えば、監査ログ５００の各データは、コピージョブログ５０１、スキャンジョブログ５０２などに対応する各ジョブ種のタグが付いた状態で一括にＨＤＤ２０４に書き込まれる。

図６は、複合機１０００の監査ログ５００の取得に関する定常稼働状態を示すフローチャートである。なお、フローチャートのステップＳ６０１～６０５は、複合機１０００において、制御部１のＣＰＵ２０１がＨＤＤ２０４に格納されたプログラムをＲＡＭ２０３に読み出して実行することにより実現される。ステップＳ６０１で、複合機１０００が稼働開始すると、ステップＳ６０２で、制御部１は、認証・ジョブ処理を行う。この処理では、ユーザの複合機１０００へのログインやジョブ投入などの動作指示を受けて、デバイス制御部３０５により複合機１０００の動作が行われる。さらに、ステップＳ６０３で、デバイス制御部３０５は、複合機１０００の動作の監査情報をＨＤＤ２０４に監査ログ５００として書き込む依頼を、不正アクセス判定部３０８を通して監査ログ制御部３０９に行う。これに応じて、監査ログ制御部３０９は、書き込み依頼された監査情報を、複合機１０００の動作に対応する種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）として、ＨＤＤ２０４に書き込む（記録工程）。

次に、ステップＳ６０４で、通信制御部３０３は、管理サーバ２０００からの監査ログの取得の指示の有無を判定する。通信制御部３０３が取得の指示のないと判定する場合、処理はステップＳ６０２に戻り、通信制御部３０３が取得の指示があると判定する場合、処理はステップＳ６０５に移行する。ステップＳ６０５では、制御部１は、監査ログ収集処理を行う。この処理では、後で説明する図７の不正アクセス判定処理と、不正アクセスと判定した場合の処理とが行われる。制御部１は、取得の指示つまり監査ログ５００へのアクセスの要求が正当なアクセスであると判定する場合、管理サーバ２０００へ監査ログ５００を送信する。その後、処理はステップＳ６０２に戻る。このようにして、複合機１０００は、同じフローを繰り返すことを定常動作として稼働する。

図７は、第１実施形態に係る複合機１０００で監査ログ５００を保全する制御を説明するためのフローチャートである。なお、フローチャートのステップＳ７０１～７０７（情報処理装置の制御方法）は、複合機１０００において、制御部１（コンピュータ）のＣＰＵ２０１がＨＤＤ２０４に格納されたプログラムをＲＡＭ２０３に読み出して実行することにより実現される。また、第１実施形態では、管理サーバ２０００からのアクセスの要求が不正アクセスと判定されず、正当な監査ログ５００へのアクセスの要求の場合、図６のフローチャートに従って、管理サーバ２０００に監査ログ５００が回収され、必要な監査に利用される。また、監査ログ５００へのアクセスの全ては、不正アクセス判定部３０８を通してのみ行われる構成であり、予め定義されたアクセス許可パターン（許可条件）に合致する場合のみ、監査ログ５００へのアクセスの要求が許可される。不正アクセス判定部３０８の判定は、不正アクセス判定部３０８に対する要求コマンドのアクセスＩＦに付加されるアクセス情報と、予め定義されたアクセス許可パターンを比較することで行われる。

ここで、予め定義されたアクセス許可パターンの構成について説明する。図８は、不正アクセス判定部３０８が判定に用いるアクセス許可パターンを説明するための図である。図８のアクセス許可パターンは、ＨＤＤ２０４に記憶された管理テーブルに保有されており、管理サーバ２０００用の定義１２１０、デバイス制御部３０５用の定義１２１１、および通信制御部３０３用の定義１２１２が登録されている。さらに、各アクセス判定項目として、アプリＩＤ１２０１、管理者ＩＤ１２０２、管理者パスワード１２０３、およびアクセス権限１２０４が定義されている。不正アクセス判定部３０８は、監査ログ５００へのアクセスの要求の全てについて、図８のアクセス許可パターンとの照合により、正当性の判定を行う。このようにして、第１実施形態に係る複合機１０００は、監査ログ５００へのアクセスの要求が不正アクセスであるかの判定を可能にする。なお、複合機１０００に対して監査ログ５００へのアクセスの要求を行う管理サーバ２０００は、要求コマンドに図８のアクセス許可パターンに合致する正しいアクセス情報を付加する前提である。また、複合機１０００で実行されるデバイス制御部３０５や通信制御部３０３の監査ログ５００へのアクセスの要求も同様で、図８のアクセス許可パターンに合致する正しいアクセス情報を要求コマンドに付加し、監査ログ５００へのアクセスの要求が実行される。

図７のフローチャートの説明に戻る。ステップＳ７０１で、複合機１０００が稼働開始すると、ステップＳ７０２で、監査ログ５００へのアクセスの要求が行われる。監査ログ５００へのアクセスの要求は、例えば管理サーバ２０００などの外部装置から外部ネットワーク２００および内部ネットワーク１００を介したアクセスの要求である。また、複合機１０００の操作パネル２０９を介した監査ログ制御部３０９に対する監査ログ５００へのアクセスの要求も想定している。

続いて、ステップＳ７０３で、不正アクセス判定部３０８は、要求コマンドのアクセスＩＦに付加されたアクセス情報と、図８のアクセス許可パターンとを照合することにより、監査ログ５００へのアクセスの要求の正当性を判定する（判定工程）。ステップＳ７０４で、不正アクセス判定部３０８が、監査ログ５００へのアクセスの要求が正当なアクセスであると判定する場合、処理はステップＳ７０７に移行する。ステップＳ７０７で、制御部１は、監査ログ５００へのアクセス処理をアクセスの要求通りに行ない、その後、処理はステップＳ７０２に戻る。

一方、ステップＳ７０４で、不正アクセス判定部３０８が、監査ログ５００へのアクセスの要求が不正アクセスであると判定する場合、処理はステップ７０５に移行する。ステップＳ７０５で、不正アクセス判定部３０８は、不正アクセスがどの種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）へのアクセスの要求だったのかを判定する。これにより、不正アクセスと判定されたアクセスの要求を受けた、監査ログ５００の種別に関連する複合機１０００の機能が特定される。なお、以下の説明では、不正アクセスと判定されたアクセスの要求を、不正アクセスの要求と表記する。さらに、ステップＳ７０６で、不正アクセス判定部３０８は、デバイス制御部３０５に対して、ステップＳ７０５で特定された複合機１０００の機能の無効化を要求する。この無効化要求は、不正アクセスの要求を受けた監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）に関連する複合機１０００の機能を無効化するためである。これに応じて、デバイス制御部３０５は、無効化要求の対象である複合機１０００の機能について、以後の動作要求を受け付けない状態に遷移させ、不正アクセスの要求を受けた種別の監査ログ５００についてのアクセスを遮断する（制御工程）。このようにして、制御部１は、不正アクセスの要求を受けた監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）に関連する複合機１０００の機能を停止する停止制御を行う。

具体的には、例えば、ステップＳ７０５で、不正アクセス判定部３０８が、不正アクセスの要求がコピージョブログ５０１へのアクセスの要求だったと判定する場合、ステップＳ７０６で、デバイス制御部３０５は、以後のコピージョブ動作を受け付けない。また、同時に、ＵＩ制御部３０７（表示制御手段）は、複合機１０００の操作パネル２０９（表示部）において、図９に示す通知画面８００によるメッセージ表示を行い、複合機１０００のコピー機能が利用できない旨を示す。画像８０１は、通知画面８００内において、複合機１０００のモードが、コピージョブログ５０１に関連するコピー機能を利用するモードであることを示す表示である。了解ボタン８０２は、通知画面８００を閉じるためのボタンである。これにより、複合機１０００の操作パネル２０９では、無効化されているコピー機能に関し、通知画面８００のメッセージ表示および画像８０１のモード表示が行われる。なお、不正アクセスの要求がスキャンジョブログ５０２、プリントジョブログ５０３、ＦＡＸジョブログ５０４、認証ログ５０５、ＵＩ操作ログ５０６、または画像ログ５０７へのアクセスの要求だったと判定された場合も、同様である。このようにして、第１実施形態に係る複合機１０００では、操作パネル２０９に表示される通知画面８００によって、停止されている機能を利用できない旨をユーザに知らせることができる。この点は、後で説明する第２実施形態においても、同様である。

上記の通り、複合機１０００は、監査ログ５００への不正アクセスの要求に伴って、不正アクセスの要求を受けた種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）を保全状態へ切り替る。さらに、複合機１０００では、不正アクセスの要求を受けた種別の監査ログ５００（５０１～５０７で示す何れかのログ）に関連する機能が無効化される。よって、ジョブログ５０８への不正アクセスの要求が行われると、図７のフローチャートに従い、不正アクセスの要求を受けたジョブログ５０８の種別に関連するコピー機能、スキャン機能、プリント機能、またはＦＡＸ機能が無効化される。また、認証ログ５０５、ＵＩ操作ログ５０６、または画像ログ５０７への不正アクセスの要求が行われた場合も、同様である。このようにして、第１実施形態に係る複合機１０００では、無効化による機能停止の細分化を図っている。この点は、後で説明する第２実施形態においても、同様である。

なお、認証ログ５０５への不正アクセスの要求が行われた場合、複合機１０００の認証処理が無効化され、複合機１０００全体の機能が無効化される。つまり、複合機１０００の全ての機能が停止対象となる。これは、認証ログ５０５への不正アクセスの要求は、複合機１０００全体を攻撃する危険性が高いためである。このようにして、第１実施形態に係る複合機１０００は、認証ログ５０５への不正アクセスの要求から守られる。また、ＵＩ操作ログ５０６への不正アクセスの要求が行われた場合、複合機１０００の操作パネル２０９からの全ての操作が無効化される。ただし、この場合、操作パネル２０９経由でない内部ネットワーク１００経由によるジョブ投入は、無効化されない。画像ログ５０７への不正アクセスの要求が行われた場合、複合機１０００の画像処理を伴う全ての機能が無効化される。従って、複合機１０００のコピー機能、スキャン機能、プリント機能、およびＦＡＸ機能が無効化されるが、画像処理を伴わない認証機能とＵＩ操作は無効化されない。そのため、ユーザは、操作パネル２０９を用いて複合機１０００にログインし、複合機１０００のステータス確認などの操作や表示を行うことは可能である。

このようにして、第１実施形態に係る複合機１０００は、不正アクセスの攻撃を検出した場合に、監査ログ５００の破損やロストを防ぐことができる。従って、不正アクセスの要求が行われた後は、その不正アクセスの要求を受けた監査ログ５００の種別（５０１～５０７で示す何れかのログ）に関連する機能の動作要求に織り込むようにして、そのログへの攻撃を繰り返し受けても防ぐことができる。この点は、不正アクセスの要求が行われた後に、不正アクセス判定部３０８や監査ログ制御部３０９などが攻撃を受けて破壊された場合でも、同様である。

図１０は、第１実施形態において、機能の無効化を解除する場合の複合機１０００の制御を説明するためのフローチャートである。以下、図１０のフローチャートを用いて、保全された種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）に関連する機能を無効化状態（ステップＳ７０６）から復帰させる例を説明する。なお、フローチャートのステップＳ７０６およびステップＳ９０２～９０４は、複合機１０００において、制御部１のＣＰＵ２０１がＨＤＤ２０４に格納されたプログラムをＲＡＭ２０３に読み出して実行することにより実現される。

ステップＳ７０６で、制御部１が、不正アクセスの要求を受けた監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）に関連する機能を無効化すると、処理はステップＳ９０２に移行する。ステップＳ９０２で、不正アクセス判定部３０８は、予め設定した一定時間周期でその後の不正アクセス発生状況の監視を行う。この監視は、複合機１０００内部で監査ログ５００へのアクセスの要求が発生する都度実行される、上記のステップＳ７０３の判定に合わせて実行される。次に、ステップＳ９０３で、不正アクセス判定部３０８が、予め設定した一定時間内で、引き続き不正アクセスの要求が発生していると判定する場合、処理はステップＳ９０２に戻る。これにより、不正アクセス判定部３０８は、継続して不正アクセス発生状況の監視を行う。一方、ステップＳ９０３で、不正アクセス判定部３０８が、不正アクセスの要求が発生していない時間が一定時間以上になると判定する場合、処理はステップＳ９０４に移行する。

ステップＳ９０４で、不正アクセス判定部３０８は、デバイス制御部３０５とＵＩ制御部３０７に対して、機能無効化の解除を通知する。これに応じて、デバイス制御部３０５は、ジョブ受付制限を解除してジョブ受付を可能とし、ＵＩ制御部３０７は、操作パネル２０９における図９の通知画面８００の表示を解除する。これにより、停止制御の後においては、不正アクセスの要求が発生していない時間が一定時間経過後に停止制御が解除される。このようにして、第１実施形態に係る複合機１０００は、機能の無効化を解除し、通常通りの稼働状態に復帰することによって、速やか且つ安全に機能を再開させて利便性を確保すると共に、監査ログ５００の保護と複合機１０００の可用性を両立する。

＜第２実施形態＞
以下、図１１および図１２を参照して、第２実施形態について説明するが、前述した実施形態との相違点を中心に説明し、同様の事項はその説明を省略する。図１１は、第２実施形態に係る複合機１０００（情報処理装置）で監査ログ５００を保全する制御を説明するためのフローチャートである。なお、フローチャートのステップＳ１００１～１００５（情報処理装置の制御方法）は、複合機１０００において、制御部１（コンピュータ）のＣＰＵ２０１がＨＤＤ２０４に格納されたプログラムをＲＡＭ２０３に読み出して実行することにより実現される。ステップＳ１００１で、複合機１０００が、稼働開始し、図６で説明した定常稼働状態に入ると、ステップＳ１００２で、監査ログ制御部３０９（判定手段）は、監査ログ５００の各データの正当性チェックを行う（判定工程）。監査ログ５００の各データの正当性チェックは、図６のステップＳ６０３の処理の度に、つまり監査ログ５００の書き込みの都度、再計算される。その際、コピージョブログ５０１、スキャンジョブログ５０２、プリントジョブログ５０３、ＦＡＸジョブログ５０４、認証ログ５０５、ＵＩ操作ログ５０６、および画像ログ５０７それぞれに付加しているハッシュ値が検証される。このようにして、第２実施形態に係る複合機１０００は、監査ログ５００に異常データがあるかの判定を可能にする。次に、ステップＳ１００３で、監査ログ制御部３０９が、ハッシュ値の検証が正常であると判定する場合、処理はステップＳ１００２に戻る。これにより、監査ログ制御部３０９は、複合機１０００の定常稼働状態を継続させる。

一方、ステップＳ１００３で、監査ログ制御部３０９が、ハッシュ値の検証が異常であると判定する場合、処理はステップＳ１００４に移行する。ステップＳ１００４で、監査ログ制御部３０９は、ハッシュ値に異常があった監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）に関連する機能を特定する。ステップＳ１００５で、監査ログ制御部３０９は、デバイス制御部３０５、ＵＩ制御部３０７に対して、その特定された複合機１０００の機能の無効化を指示し、ハッシュ値に異常があった種別の監査ログ５００への書き込み処理も含めて停止させる（制御工程）。その際、操作パネル２０９には、図９の通知画面８００が表示される。このようにして、制御部１は、ハッシュ値に異常があったデータ、つまり異常データを含んだ監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）に関連する複合機１０００の機能を停止する停止制御を行う。従って、第２実施形態に係る複合機１０００では、監査ログ５００のデータに異常がある、すなわち不正アクセスの要求判定をすり抜けて監査ログ５００への攻撃が行われている可能性ありとする判定により、監査ログ５００を保全状態へ移行することができる。

このようにして、第２実施形態に係る複合機１０００は、不正アクセスの攻撃を異常データによって検出した場合に、監査ログ５００の破損やロストを防ぐことができる。従って、異常データが検出された後は、その異常データを含む監査ログ５００の種別（５０１～５０７で示す何れかのログ）に関連する機能の動作要求に織り込むようにして、そのログへの攻撃を繰り返し受けても防ぐことができる。この点は、異常データが検出された後に、不正アクセス判定部３０８や監査ログ制御部３０９などが攻撃を受けて破壊された場合でも、同様である。

なお、認証ログ５０５のデータに異常がある場合、複合機１０００の認証処理が無効化され、複合機１０００全体の機能が無効化される。つまり、複合機１０００の全ての機能が停止対象となる。これは、認証ログ５０５におけるデータの異常は、複合機１０００全体を攻撃する危険性が高いためである。このようにして、第２実施形態に係る複合機１０００は、認証ログ５０５におけるデータの異常から守られる。

図１２は、第２実施形態において、機能の無効化を解除する場合の複合機１０００の制御を説明するためのフローチャートである。以下、図１２のフローチャートを用いて、保全された種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）に関連する機能を無効化状態（ステップＳ１００５）から復帰させる例を説明する。なお、フローチャートのステップＳ１００５およびステップＳ１１０２～１１０４は、複合機１０００において、制御部１のＣＰＵ２０１がＨＤＤ２０４に格納されたプログラムをＲＡＭ２０３に読み出して実行することにより実現される。ステップＳ１００５で、制御部１が、ハッシュ値に異常があった監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）に関連する機能を無効化すると、処理はステップＳ１１０２に移行する。ステップＳ１１０２で、監査ログ制御部３０９は、管理サーバ２０００へ監査ログ５００の全データを送信する。この送信は、通信制御部３０３と連動して行われる。このような制御は、新たな監査ログ５００の書き込みを停止しつつ、既存の監査ログ５００の全データを複合機１０００から安全な管理サーバ２０００側に退避し回収するために行われる。

そして、ステップＳ１１０３で、制御部１が、監査ログ５００の全データを管理サーバ２０００へ転送することが完了したと判定すると、処理はステップＳ１１０４に移行する。その際、複合機１０００では、監査ログ５００が一旦回収されて保全済みとなるため、これ以上の監査ログ５００の不正や破壊が起こる危険が解消した状態になる。そのため、ステップＳ１１０４で、監査ログ制御部３０９は、デバイス制御部３０５とＵＩ制御部３０７に対して、機能無効化の解除を通知する。これに応じて、デバイス制御部３０５は、ジョブ受付制限を解除してジョブ受付可能とし、ＵＩ制御部３０７は、操作パネル２０９における図９の通知画面８００の表示を解除する。このようにして、第２実施形態に係る複合機１０００は、機能の無効化を解除し、通常通りの稼働状態に復帰することによって、速やか且つ安全に機能を再開させて利便性を確保すると共に、監査ログ５００の保護と複合機１０００の可用性を両立する。

＜その他の実施形態＞
なお、第１実施形態において、監査ログ制御部３０９は、不正アクセスと判定されたアクセスの要求に関するログを、監査ログ５００の種別（５０１～５０７の符号で示す何れかのログ）とは識別可能な状態でＨＤＤ２０４に書き込んでもよい。その際、不正アクセスと判定されたアクセスの要求に関するログは、監査ログ５００の新たな種別として独立して管理されてもいし、識別のためのタグが付いた状態で監査ログ５００の各データと一括にＨＤＤ２０４に書き込まれてもよい。このようにすれば、第１実施形態に係る複合機１０００は、不正アクセスと判定されたアクセスの要求に関する情報を残すことができるので、事後の監査・追跡が可能である。

また、第１実施形態では、図１０のフローチャートに代え、図１２のフローチャートによって、保全された種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）に関連する機能を無効化状態（ステップＳ７０６）から復帰させてもよい。

また、第２実施形態では、図１２のフローチャートに代え、図１０のフローチャートによって、保全された種別の監査ログ５００（５０１～５０７の符号で示す何れかのログ）に関連する機能を無効化状態（ステップＳ１００５）から復帰させてもよい。この場合、ステップＳ９０２で、監査ログ制御部３０９は、予め設定した一定時間周期でその後の異常データ発生状況の監視を行う。この監視は、図６のステップＳ６０３の処理の度に、つまり監査ログ５００の書き込みの都度実行される、上記のステップＳ１００２の判定に合わせて実行される。次に、ステップＳ９０３で、監査ログ制御部３０９が、予め設定した一定時間内で、引き続き異常データが発生していると判定する場合、処理はステップＳ９０２に戻る。これにより、監査ログ制御部３０９は、継続して異常データ発生状況の監視を行う。一方、ステップＳ９０３で、監査ログ制御部３０９が、異常データが発生していない時間が一定時間以上になると判定する場合、処理はステップＳ９０４に移行する。ステップＳ９０４で、監査ログ制御部３０９は、デバイス制御部３０５とＵＩ制御部３０７に対して、機能無効化の解除を通知する。これにより、停止制御の後においては、異常データが発生していない時間が一定時間経過後に停止制御が解除される。

また、各実施形態に係る複合機１０００は、無効化により停止している機能を、図１０または図１２のフローチャートを用いて、複合機１０００自体が再開させるが、再開権限のある管理サーバや管理者が再開させてもよい。具体的には、管理サーバは、図８のアクセス許可パターンなどを用いて、複合機１０００から再開権限あるサーバとして許可を受けた上で、複合機１０００に対する再開指示により、無効化により停止している機能を再開させる。また、管理者は、操作パネル２０９での操作により、再開権限ある者としての認証を正しく行った上で、無効化により停止している機能を再開させる。

また、各実施形態に係る複合機１０００は、コピー機能などの複数の機能を有するものであったが、１つの機能のみを有する情報処理装置であっても、同様にして、監査ログ５００の破損やロストを防ぐことができる。

本実施形態の開示は、以下の構成、方法およびプログラムを含む。
（構成１） １または複数の機能を有する情報処理装置であって、
前記１または複数の機能に対応する種別ごとに監査ログを記録する記録手段と、
前記監査ログへのアクセスの要求があった際に、該アクセスの要求が不正アクセスであるかを判定する判定手段と、
前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、前記１または複数の機能のうち、該アクセスの要求を受けた前記監査ログの種別に関連する機能について停止制御を行う制御手段と、を備えることを特徴とする情報処理装置。
（構成２） 前記監査ログは、少なくとも、前記情報処理装置の認証に関する認証ログ、該情報処理装置のジョブ動作に関するジョブログ、該情報処理装置のＵＩ操作に関する操作ログ、および該情報処理装置の画像処理に関する画像ログに種別されていることを特徴とする構成１に記載の情報処理装置。
（構成３） 前記制御手段は、前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合に、該アクセスの要求を受けた前記監査ログの種別が前記認証ログであるときは、前記１または複数の機能の全てを前記停止制御の停止対象にすることを特徴とする構成２に記載の情報処理装置。
（構成４） 前記アクセスの要求に対する許可条件を保有する管理テーブルを備え、
前記判定手段は、前記アクセスの要求に付加されたアクセス情報と前記管理テーブルの前記許可条件とを照合することにより、該アクセスの要求が不正アクセスであるかを判定することを特徴とする構成１乃至３のいずれか一項に記載の情報処理装置。
（構成５） 前記記録手段は、前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、該アクセスの要求に関するログを前記１または複数の機能に関するログと識別可能に前記監査ログに記録することを特徴とする構成１乃至４のいずれか一項に記載の情報処理装置。
（構成６） １または複数の機能を有する情報処理装置であって、
前記１または複数の機能に対応する種別ごとに監査ログを記録する記録手段と、
前記記録手段で前記監査ログを記録した際に、前記監査ログに異常データがあるかを判定する判定手段と、
前記判定手段の判定結果が、前記監査ログに異常データがあるとする場合、前記１または複数の機能のうち、該判定結果の異常データに該当するデータを含んだ前記監査ログの種別に関連する機能について停止制御を行う制御手段と、を備えることを特徴とする情報処理装置。
（構成７） 前記監査ログは、少なくとも、前記情報処理装置の認証に関する認証ログ、該情報処理装置のジョブ動作に関するジョブログ、該情報処理装置のＵＩ操作に関する操作ログ、および該情報処理装置の画像処理に関する画像ログに種別されていることを特徴とする構成６に記載の情報処理装置。
（構成８） 前記制御手段は、前記判定手段の前記判定結果が、前記監査ログに異常データがあるとする場合に、該判定結果の異常データに該当するデータを含んだ前記監査ログの種別が前記認証ログのときは、前記１または複数の機能の全てを前記停止制御の停止対象にすることを特徴とする構成７に記載の情報処理装置。
（構成９） 前記判定手段は、前記監査ログのハッシュ値を検証することにより、該監査ログに異常データがあるかを判定することを特徴とする構成６乃至８のいずれか一項に記載の情報処理装置。
（構成１０） 前記制御手段は、前記停止制御の後に、一定時間、前記判定手段により前記アクセスの要求が不正アクセスであると判定されなかった場合、該一定時間の経過後に前記停止制御を解除することを特徴とする構成１乃至５のいずれか一項に記載の情報処理装置。
（構成１１） 前記制御手段は、前記停止制御の後に、一定時間、前記判定手段により前記監査ログに異常データがあると判定されなかった場合、該一定時間の経過後に前記停止制御を解除することを特徴とする構成６乃至９のいずれか一項に記載の情報処理装置。
（構成１２） 前記制御手段は、前記停止制御の後に、前記情報処理装置を管理する管理サーバに前記監査ログの全データの送信が完了した場合、前記停止制御を解除することを特徴とする構成１乃至９のいずれか一項に記載の情報処理装置。
（構成１３） 表示部と、
前記表示部を制御する表示制御手段と、を備え、
前記表示制御手段は、前記制御手段による前記停止制御の際に、前記停止制御された機能が利用できない旨を通知する通知画面を前記表示部に表示することを特徴とする構成１乃至１２のいずれか一項に記載の情報処理装置。
（方法１） １または複数の機能を有する情報処理装置の制御方法であって、
前記１または複数の機能に対応する種別ごとに監査ログを記録する記録工程と、
前記監査ログへのアクセスの要求があった際に、該アクセスの要求が不正アクセスであるかを判定する判定工程と、
前記判定工程の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、前記１または複数の機能のうち、該アクセスの要求を受けた前記監査ログの種別に関連する機能について停止制御を行う制御工程と、を備えることを特徴とする情報処理装置の制御方法。
（方法２） １または複数の機能を有する情報処理装置の制御方法であって、
前記１または複数の機能に対応する種別ごとに監査ログを記録する記録工程と、
前記記録工程で前記監査ログを記録した際に、前記監査ログに異常データがあるかを判定する判定工程と、
前記判定工程の判定結果が、前記監査ログに異常データがあるとする場合、前記１または複数の機能のうち、該判定結果の異常データに該当するデータを含んだ前記監査ログの種別に関連する機能について停止制御を行う制御手段と、を備えることを特徴とする情報処理装置の制御方法。
（プログラム１） 構成１乃至１３のいずれか一項に記載の情報処理装置の各手段をコンピュータに実行させるためのプログラム。

以上、本発明の好ましい実施形態について説明したが、本発明は上述した各実施形態に限定されず、その要旨の範囲内で種々の変形および変更が可能である。本発明は、上述の各実施形態の１以上の機能を実現するプログラムを、ネットワークや記憶媒体を介してシステムや装置に供給し、そのシステムまたは装置のコンピュータの１つ以上のプロセッサがプログラムを読み出して実行する処理でも実現可能である。また、本発明は、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。

１ 制御部（制御手段）
３０９ 監査ログ制御部（記録手段）
３０８ 不正アクセス判定部（判定手段）
５００ 監査ログ
１０００ 複合機（情報処理装置）

Claims (16)

1. １または複数の機能を有する情報処理装置であって、
   前記１または複数の機能に対応する種別ごとに監査ログを記録する記録手段と、
   前記監査ログへのアクセスの要求があった際に、該アクセスの要求が不正アクセスであるかを判定する判定手段と、
   前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、前記１または複数の機能のうち、該アクセスの要求を受けた前記監査ログの種別に関連する機能について停止制御を行う制御手段と、を備えることを特徴とする情報処理装置。
2. 前記監査ログは、少なくとも、前記情報処理装置の認証に関する認証ログ、該情報処理装置のジョブ動作に関するジョブログ、該情報処理装置のＵＩ操作に関する操作ログ、および該情報処理装置の画像処理に関する画像ログに種別されていることを特徴とする請求項１に記載の情報処理装置。
3. 前記制御手段は、前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合に、該アクセスの要求を受けた前記監査ログの種別が前記認証ログであるときは、前記１または複数の機能の全てを前記停止制御の停止対象にすることを特徴とする請求項２に記載の情報処理装置。
4. 前記アクセスの要求に対する許可条件を保有する管理テーブルを備え、
   前記判定手段は、前記アクセスの要求に付加されたアクセス情報と前記管理テーブルの前記許可条件とを照合することにより、該アクセスの要求が不正アクセスであるかを判定することを特徴とする請求項１に記載の情報処理装置。
5. 前記記録手段は、前記判定手段の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、該アクセスの要求に関するログを前記１または複数の機能に関するログと識別可能に前記監査ログに記録することを特徴とする請求項１に記載の情報処理装置。
6. １または複数の機能を有する情報処理装置であって、
   前記１または複数の機能に対応する種別ごとに監査ログを記録する記録手段と、
   前記記録手段で前記監査ログを記録した際に、前記監査ログに異常データがあるかを判定する判定手段と、
   前記判定手段の判定結果が、前記監査ログに異常データがあるとする場合、前記１または複数の機能のうち、該判定結果の異常データに該当するデータを含んだ前記監査ログの種別に関連する機能について停止制御を行う制御手段と、を備えることを特徴とする情報処理装置。
7. 前記監査ログは、少なくとも、前記情報処理装置の認証に関する認証ログ、該情報処理装置のジョブ動作に関するジョブログ、該情報処理装置のＵＩ操作に関する操作ログ、および該情報処理装置の画像処理に関する画像ログに種別されていることを特徴とする請求項６に記載の情報処理装置。
8. 前記制御手段は、前記判定手段の前記判定結果が、前記監査ログに異常データがあるとする場合に、該判定結果の異常データに該当するデータを含んだ前記監査ログの種別が前記認証ログのときは、前記１または複数の機能の全てを前記停止制御の停止対象にすることを特徴とする請求項７に記載の情報処理装置。
9. 前記判定手段は、前記監査ログのハッシュ値を検証することにより、該監査ログに異常データがあるかを判定することを特徴とする請求項６に記載の情報処理装置。
10. 前記制御手段は、前記停止制御の後に、一定時間、前記判定手段により前記アクセスの要求が不正アクセスであると判定されなかった場合、該一定時間の経過後に前記停止制御を解除することを特徴とする請求項１に記載の情報処理装置。
11. 前記制御手段は、前記停止制御の後に、一定時間、前記判定手段により前記監査ログに異常データがあると判定されなかった場合、該一定時間の経過後に前記停止制御を解除することを特徴とする請求項６に記載の情報処理装置。
12. 前記制御手段は、前記停止制御の後に、前記情報処理装置を管理する管理サーバに前記監査ログの全データの送信が完了した場合、前記停止制御を解除することを特徴とする請求項１または６に記載の情報処理装置。
13. 表示部と、
    前記表示部を制御する表示制御手段と、を備え、
    前記表示制御手段は、前記制御手段による前記停止制御の際に、前記停止制御された機能が利用できない旨を通知する通知画面を前記表示部に表示することを特徴とする請求項１または６に記載の情報処理装置。
14. １または複数の機能を有する情報処理装置の制御方法であって、
    前記１または複数の機能に対応する種別ごとに監査ログを記録する記録工程と、
    前記監査ログへのアクセスの要求があった際に、該アクセスの要求が不正アクセスであるかを判定する判定工程と、
    前記判定工程の判定結果が、前記アクセスの要求が不正アクセスであるとする場合、前記１または複数の機能のうち、該アクセスの要求を受けた前記監査ログの種別に関連する機能について停止制御を行う制御工程と、を備えることを特徴とする情報処理装置の制御方法。
15. １または複数の機能を有する情報処理装置の制御方法であって、
    前記１または複数の機能に対応する種別ごとに監査ログを記録する記録工程と、
    前記記録工程で前記監査ログを記録した際に、前記監査ログに異常データがあるかを判定する判定工程と、
    前記判定工程の判定結果が、前記監査ログに異常データがあるとする場合、前記１または複数の機能のうち、該判定結果の異常データに該当するデータを含んだ前記監査ログの種別に関連する機能について停止制御を行う制御工程と、を備えることを特徴とする情報処理装置の制御方法。
16. 請求項１または６に記載の情報処理装置の各手段をコンピュータに実行させるためのプログラム。

Images