JP4704010B2 - 画像形成装置、画像形成システム、セキュリティ管理装置およびセキュリティ管理方法 - Google Patents

Description

本発明は、広くは画像形成技術に関し、特に、セキュリティ管理下にある文書に含まれる画像情報を、オリジナルのセキュリティレベルを維持したまま再生または送信できる画像形成装置と画像形成システムに関する。本発明はまた、画像形成時のセキュリティ管理に関する。

近年、情報機器の普及とネットワーク化の進展に伴い、ファクシミリ、プリンタ、コピー機などの画像形成装置を組み込んだ情報ネットワークシステムが、オフィスに導入されている。業務上必要な文書は、ファクシミリ、プリンタ、コピー機などを用いて、多様な形態で出力される。

最近では、官公庁を中心として、ＩＳＯ１７７９９として知られる情報セキュリティ管理標準に基づいて、情報のセキュリティポリシーを掲げる組織が増えている。掲げられたポリシーに基づいてセキュリティが確保されるように企図された情報システムが構築され、運営されつつある。

セキュリティポリシーは通常、ポリシーファイルという形式で設定される。システムに設定されるセキュリティポリシーの例として、Ｊａｖａ（登録商標）に設定するプログラムの実行許諾に関する情報や、ファイアウォールに設定するプロトコルの通過許可に関する情報がある。

データファイルへのアクセスを制御する際に、条件付のアクセスを許可するか否かを評価するシステムが提案されている（たとえば、特許文献１参照）。この文献では、外部からデータファイルに対するアクセス要求があると、ポリシー評価モジュールがアクセス対象のデータに関連付けられたポリシー記述を取り出して、アクセス要求の許否を判断する。取り出されたポリシー記述の中に、ポリシー評価モジュールが持つ情報だけでは評価できない条件が含まれているときには、執行機能検証モジュールがこの条件の評価が可能かどうかを判断する。判断可能な場合は、条件に基づいてアクセス要求の許否が評価される。

この方法は、すでに保存されているデータファイルへのアクセス自体を制御する方法であり、データ処理に伴うセキュリティ、たとえば複写や他の情報機器への転送時のセキュリティ管理には言及されていない。

また、システムを構成する各機器とセキュリティポリシーに関する情報を、管理・監査プログラムと対応付けて格納するデータベースを設定し、このデータベースから適切な管理・監査プログラムを抽出して、システムをポリシーに合致するように制御し、合致状態を監査する方法が提案されている（たとえば、特許文献２参照）。この方法では、システムに登録されたプログラムにしたがって制御されるだけであり、自由度が小さい。

さらに、ネットワークを介したサーバ−クライアントシステムにおいて、ネットワークからの侵入者がユーザ権限を悪用して、不正にファイルの読み出し、書き込みを試みる場合に、このようなアクセスを抑止するアクセス制御システムが提案されている（たとえば、特許文献３参照）。

さらに、オープンな分散環境のシステムで、第三者機関にセキュリティポリシーを設定、更新し、このセキュリティポリシーにしたがって、ドメイン間にまたがってアクセス制御を行い、セキュリティ侵害の収集、解析、警告、否認を行う方法が提案されている（たとえば、特許文献４参照）。
特開２００１−１８４２６４号公報 特開２００１−２７３３８８号公報 特開２００１−３３７８６４号公報 特開平７−１４１２９６号公報

このようなセキュリティの実施方法では、セキュリティ管理者は、各情報機器に個別に設定されたセキュリティに関する知識を持つ必要がある。また、システム全体がどのようなセキュリティ状態になっているのか容易に把握できることが望まれるが、現状のシステムでは、全体のセキュリティ状態を把握しにくい。また、個々の機器にセキュリティが施されていても、実際に処理中の、たとえば複写中や転送中の文書のセキュリティが守られているかどうか、ユーザは認識できない。

さらに、本来セキュリティ管理下にない文書を複写、スキャンする場合や、セキュリティ管理下にある文書であっても、文書情報を読み取れない場合の対処方法を考慮する必要がある。

そこで、本発明は、システム全体としてのセキュリティ状態の把握を容易にし、かつユーザや管理者が、個々の機器におけるセキュリティの実施状態を実感できる画像形成装置、および画像形成システムを提供する。

また、複写、スキャンなどの画像形成時に、セキュリティ管理下にある原稿と同じセキュリティレベルで画像形成動作のセキュリティ管理を実現するセキュリティ管理方法および装置を提供する。

また、画像形成処理が行われようとしている文書の文書情報が読み取れない場合でも、セキュリティを維持することのできる画像形成装置およびセキュリティ管理装置を提供する。

上記目的を達成するため、本発明の第１の側面では、画像形成装置は、
（ａ）ユーザの画像形成要求に応じて原稿を読み取る読み取り手段と、
（ｂ）前記ユーザのセキュリティ属性を含むユーザ情報を取得するユーザ情報取得手段と、
（ｃ）前記読み取られた原稿のセキュリティ属性を含むドキュメント情報を取得するドキュメント情報取得手段と、
（ｄ）前記ユーザ情報およびドキュメント情報に基づき、所定のルールを参照して、前記読み取られた原稿の画像データの出力の可否を判断する動作要件選択手段と、
（ｅ）前記ドキュメント情報取得部でドキュメント情報が取得されない場合に、前記要求された画像データ出力を行うことなく、前記画像データを前記ユーザ情報と関連付けて保存するログ管理手段と
を備える。

この画像形成装置では、セキュリティ判断に必要なドキュメント情報が取得されず、文書の出所が確認できない場合は、読み取った画像データを出力せずに、ユーザ情報と関連付けてログ管理手段に保存する。ドキュメント情報が得られた場合は、所定のルールに従って、画像データの出力の可否を判断する。この構成により、画像形成装置ごとに文書のセキュリティが維持され、ユーザおよび管理者は、セキュリティ状況を容易に知ることができる。

本発明の第２の側面では、ネットワークを介した画像形成システムが提供される。画像形成システムは、
（ａ）ユーザの画像形成要求にしたがって画像形成を行う画像形成ユニットと、
（ｂ）前記ユーザのセキュリティ属性を含むユーザプロファイルを取得するユーザプロファイル管理ユニットと、
（ｃ）前記画像形成ユニットにより読み取られた原稿のセキュリティ属性を含むドキュメントプロファイルを取得するドキュメントプロファイル管理ユニットと、
（ｄ）前記ユーザのセキュリティ属性と、前記読み取られた原稿のセキュリティ属性とに基づき、画像形成に関する所定のルールを記述するルールテーブルを参照して、前記画像形成ユニットにより読み取った原稿の画像データの出力の可否を判断する動作要件管理ユニットと、
（ｅ）前記ドキュメントプロファイル管理ユニットで、前記原稿のドキュメントプロファイルが取得されない場合に、前記画像形成ユニットから前記画像データを受け取り、前記ユーザプロファイルと関連付けて保存するログ管理ユニットと、
がネットワークを介して互いに接続され、画像形成ユニットは、ドキュメントプロファイル取得ユニットでドキュメントプロファイルが取得されない場合に、要求された画像形成出力を行わない。

このように機能が分散された画像形成システムにより、各ユニットでの負荷が軽減されるとともに、セキュリティ属性を含むドキュメント情報、ユーザ情報がシステム内で共有される。この結果、システム全体で文書管理のセキュリティが維持、管理される。

本発明の第３の側面では、ネットワークを介して画像形成に接続されるセキュリティ管理装置を提供する。セキュリティ管理装置は、
（ａ）前記画像形成装置を使用するユーザのセキュリティ属性と、セキュリティ管理下にある文書のセキュリティ属性とを基準とする画像形成関連のルールを記述するルールテーブルを有し、前記画像形成装置で処理される原稿から当該原稿のセキュリティ属性を含むドキュメント情報が取得された場合に、前記ルールテーブルを参照して、前記画像形成装置によるジョブの実行の可否を判断する動作要件選択部と、
（ｂ）前記ドキュメント情報が取得されない場合に、前記画像ジョブの実行を禁止する指示を、前記画像形成装置に送る動作制御部と、
（ｃ）前記ドキュメント情報が取得されない場合に、前記画像形成装置から前記画像データを受け取って、前記ユーザのユーザ情報と関連付けて保存するログ管理部と
を備える。

文書のセキュリティが統一的に維持され、ユーザや管理者は、ジョブごとのセキュリティ状態を容易に知ることができる。

文書情報が読み取れない場合でも、原稿のセキュリティが維持される。

以下、図面を参照して本発明の良好な実施の形態を説明する。

図１は、本発明の一実施形態に係る画像形成装置のハードウェア構成を示す図である。画像形成装置１１０は、ＣＰＵ（中央処理装置）１１と、ＲＯＭ（Read-Only Memory）１２と、ＲＡＭ（Random Access Memory）１３と、ＨＤＤ（Hard Disk Drive）１４と、スキャナ１５と、プロッタ１６と、表示部１７と、入力部１８と、ＮＩＣ（Network Interface Card）１９を含む。これらのコンポーネントは、バス２０により相互に接続されている。

ＣＰＵ１１は、ＲＯＭ１２に格納された制御プログラムに従って、画像形成装置１１０を制御する。ＣＰＵ１１はまた、ＨＤＤ１４に格納され、必要に応じてＲＡＭ１３上に展開される画像形成プログラムにしたがって、画像形成装置１１０の動作を制御する。

ＨＤＤ１４は、画像形成プログラムの他に、ネットワークを介して送られてきた印刷すべき文書データファイルや、印刷処理後の画像データなどを格納する。スキャナ１５は、たとえば光学的手段で原稿を読み取り、画像データを取得する。プロッタ１６は、パーソナルコンピュータなどで生成され、画像形成装置１１０に送られてきた文書データをピクセルデータに変換して、紙などの所定の媒体上に印刷する。また、原稿を読み取って複写する処理を行う。

表示部１７は、オペレーションパネルなどで構成され、必要な情報を表示する。入力部１８は、たとえばオペレーションパネルに設けられたテンキーやタッチパネルであり、ユーザの操作に応じた情報を入力する。ＮＩＣ１９は、画像形成装置１１０とネットワークとのインタフェースであり、ネットワークを介して画像形成装置１１０に接続される複数の情報機器と電子データ（文書データ）や画像データ、あるいはセキュリティに関する情報の送受信を行う。

図２Ａは、第１実施形態に係る画像形成装置をスキャナに適用したときの機能構成を示すブロック図である。画像形成装置１１０Ａは、ユーザの要求に応じて、紙原稿２１をスキャンする読み取り手段３３と、ユーザのセキュリティ属性を含むユーザプロファイルを取得するユーザプロファイル取得手段４１と、読み取られた原稿のセキュリティ属性を含むドキュメントプロファイルを取得するドキュメントプロファイル取得手段４３と、ユーザプロファイルおよびドキュメントプロファイルに基づき、所定のルールを参照して読み取られた原稿の画像データ３０の出力の可否を判断する動作要件選択手段４５と、画像データ３０の出力が許可されない場合に、画像データ３０を前記ユーザプロファイルと関連付けて保存するログ管理手段４０とを備える。

スキャナ１１０Ａはまた、原稿２１の電子データの送信先を取得するデータ送信先取得手段２２と、原稿２１の読み取り条件を取得する読み取り条件取得手段２３と、表示手段３１を有する。画像データ３０は、ユーザにより設定される読み取り条件にしたがって、データ処理手段３４で、ハーフトーン補正やガンマ補正を受ける。処理済みの画像データは、蓄積データ２４として格納される。

原稿２１についてのドキュメントプロファイルは、スキャンにより生成された画像データ３０から抽出されてもよいし、原稿２１から取得されてもよい。

図３Ａは、原稿２１から直接識別情報を読み取ってドキュメントプロファイルを取得する場合の、ドキュメントプロファイル取得手段４３の構成例を示す図である。ドキュメントプロファイル取得手段４３は、原稿２１上に付されている文書ＩＤを読み取る識別情報取得部１０３と、読み取った文書ＩＤから、ドキュメントプロファイルデータベース（ＤＢ）４４を参照して、対応するドキュメントプロファイルを読み取るドキュメントプロファイル読み取り部１０４を有する。読み取られたドキュメントプロファイルは、動作要件選択部４５に送られる。

原稿２１上のドキュメントＩＤは、ＲＦＩＤ（Radio Frequency Identification）や、ＭＣＲ（Magnetic Character Recognition）など、画像を利用しない識別情報である。バーコードリーダやＯＣＲ（Optical Character Recognition）など、専用のリーダを利用する場合は、ドキュメントＩＤは、バーコード、ＱＲコード、文字列など、画像を利用するドキュメントＩＤであってもよい。ドキュメントプロファイルＤＢ４４は、ドキュメントＩＤを、文書カテゴリ、セキュリティレベル、取り扱い可能ゾーンと対応付けて記載するテーブル１００を有する。文書カテゴリ、セキュリティレベル、取り扱い可能ゾーンの各項目は、それぞれセキュリティ属性１０２を表わす。文書の種類（カテゴリ）に応じて、要求されるセキュリティレベルが「ＥＸＴＲＡ−ＨＩＧＨ」、「ＨＩＧＨ」、「ＭＥＤＩＵＭ」など、レベル分けされている。

図３Ｂは、原稿２１をスキャンして生成された画像データ３０からドキュメントプロファイルを取得する場合の、ドキュメントプロファイル取得手段４３の構成例である。この構成では、ドキュメントＩＤは、バーコード、ＱＲコード、文字、図形パターンなど、画像データを利用するＩＤ情報である。画像データ３０からドキュメントＩＤを抽出することを除いては、ドキュメントプロファイル取得手段４３の構成および、テーブル１００の構成は図３Ａと同様である。

ユーザ情報は、入力部１８（図１参照）を介して入力され、ユーザプロファイル取得手段４１でユーザプロファイルが取得される。

図４は、ユーザプロファイル取得手段４１の構成例を示す図である。ユーザプロファイル取得手段４１は、入力された情報から、ユーザＩＤを取得するユーザＩＤ取得部２０３と、ユーザの認証を行うユーザ認証部２０４と、適正に認証された場合に、ユーザプロファイルＤＢ４２から対応するユーザプロファイルを読み取るユーザプロファイル読み取り部２０５を有する。読み取られたユーザプロファイルは、動作要件選択部４５に供給される。

ユーザプロファイルＤＢ４２は、あらかじめ登録されたユーザＩＤに、パスワード、カテゴリ、セキュリティレベルなどのユーザセキュリティ属性２０２を対応づけて記載するテーブル２００を有する。ユーザのランクに応じて「ＨＩＧＨ」，「ＭＥＤＩＵＭ」、「ＬＯＷ」などのセキュリティレベルが設定されている。

動作要件選択手段４５は、ユーザのセキュリティレベルと文書のセキュリティレベルに応じて画像形成に関連するルールを記述するルールテーブルを有する。ルールは、たとえば画像データ出力の可否に関するルールを含む。動作要件選択手段４５は、ユーザプロファイル取得手段４１から送られてくるユーザプロファイルと、ドキュメントプロファイル取得手段４３から送られてくるドキュメントプロファイルに基づき、ルールテーブルを参照して、画像データ３０を出力してもよいかどうかを判断する。

図５は、動作要件選択手段４５に格納されるルールテーブル１５０の一例である。たとえば、管理されている文書のセキュリティレベルが「ＨＩＧＨ」の場合、画像処理動作を行おうとしているユーザのセキュリティレベルが「ＨＩＧＨ」であれば、「丸秘扱い」などの追跡情報を付加したうえで、出力を許可する。ユーザのセキュリティレベルが「ＭＥＤＩＵＭ−ＨＩＧＨ」の場合、追跡情報を付加して出力を許可し、かつ、関係部署に出力を許可した旨を報告する。ユーザのセキュリティレベルが「ＭＥＤＩＵＭ」または「ＬＯＷ」のときは、出力を拒否し、画像データを破棄する。

このようなルールテーブル１５０は、書き換え、更新が容易であり、それぞれの画像形成装置に応じて、自由にルールを設定できる。

図２Ａに戻って、ルールテーブル１５０に従って画像データ３０の出力が許可されると、動作制御手段１０は、蓄積データ２４を送信手段２５から指定のデータ送信先へ転送させる。

画像データ３０の出力が許可されない場合は、蓄積データ２４は、即座に破棄される。

ところで、原稿２１から、ドキュメントプロファイルが取得されない場合がある。これには、（１）もともとセキュリティ管理下の文書ではないので、文書ＩＤが付されていない場合、（２）セキュリティ管理下の文書ではあるが、原稿２１上の汚れにより文書ＩＤを正しく読み取ることができない場合、（３）セキュリティ管理下の文書ではあるが、文書ＩＤをわざと隠して不正なスキャンが行われている場合、などが含まれる。

この場合は、セキュリティ判断ができないので、動作制御手段１０は、蓄積データ２４を出力せずに、スキャン動作を行ったユーザのユーザ情報と関連付けて、ログ管理手段４０に保存させる。動作制御手段１０は、画像データをログ管理手段４０に保存させるとともに、ドキュメントプロファイルが取得されなかった旨のメッセージを、データ送信手段２５からシステム管理者や関係部署に送信させる構成としてもよい。また、表示手段３１にメッセージを表示することによって、ユーザに知らせる構成としてもよい。

ログ管理手段４０は、処理済の画像データを受け付けるイメージログ記録手段４７と、この画像データを、ユーザプロファイルと関連づけて保存するイメージログＤＢ４９と、保存された画像データへのアクセス要求を受け付けるイメージログ読み出し手段４８を有する。

イメージログ読み出し手段４８は、保存された画像データに対するアクセス要求があったときに、アクセス要求を行っているユーザのセキュリティレベルに基づき、保存された画像データの出力の可否を判断する。一例として、アクセスするユーザのセキュリティレベルが「ＨＩＧＨ」のとき、データ送信手段２５から送信する。このとき、関連部署に、アクセス要求に基づくデータ出力があった旨のメッセージを同時送信してもよい。なお、アクセス要求に応じて保存された画像データを出力した後は、この画像データを削除してもよい。

上述したようにルールの定義は自由であり、スキャナ１１０Ａが使用される環境に応じて、適宜設定することができる。

ログ管理手段は、保存された画像データの読み出しを許可する場合に、当該画像データに対する改ざんの有無をチェックすることが望ましい。イメージログＤＢ４９に保存される画像データは、イメージログ記録手段４７により、ハッシュ関数によるハッシュ値が演算され、算出されたハッシュ値に応じた所定のアドレスに格納されている。イメージログ読み出し手段４８は、アクセス（読み出し）要求を受け付けると、イメージログから計算されるハッシュ値と、保存時のハッシュ値とを比較し、改ざんの有無をチェックする。改ざんが検出されると、保存された画像データとともに、改ざんが検出された旨を知らせるメッセージを出力する。

なお、ドキュメントプロファイルは取得され、原稿２１のセキュリティレベルは認識できたが、入力されたユーザ情報からユーザプロファイルを取得できない場合の処理ルールも、ルールテーブル１５０に定義可能である。この場合は、原稿２１のセキュリティレベルに応じて、画像データの出力を禁止して、ログ管理手段４０に保存し、ユーザプロファイルが取得されなかった旨を報告する。または、画像データの出力を許可して、ユーザプロファイルが取得されなかった旨を報告する。

図２Ｂは、上述した第１実施形態の画像形成装置を、コピア（複写機）に適用した場合の機能構成図である。コピア１１０Ｂの基本的な構成と機能は、図２Ａのスキャナ１１０Ａと同様であるが、処理済みの画像データを出力するための出力手段として、印刷手段３５を有する。

ドキュメントプロファイルとユーザプロファイルが取得されると、動作要件選択手段４５は、ルールテーブル１５０（図５）を参照して、読み取った画像データの出力の可否を判断する。出力が許可された場合は、動作制御手段１０の指示にしたがって、印刷手段３５は所定の記録媒体上にトナー像を形成して、ハードコピーを出力する。画像データの出力が禁止された場合は、動作制御手段１０の指示により、画像データは破棄される。

読み取られた原稿２１から、ドキュメントプロファイルが取得されない場合は、画像データを媒体上に複写、再生することなく、ログ管理手段４０に保存する。このとき、データ送信部２５を介して、ドキュメントプロファイルが取得されなかった旨を、システム管理者や関連の部署に通知する。

イメージログＤＢ４９に保存された画像データに対するアクセス要求があった場合の動作は、スキャナ１１０Ａと同様である。

図６は、コピア１１０Ｂの主要な動作フローを示すフローチャートである。

まず、原稿２１のコピージョブが実行されると、原稿２１からドキュメントＩＤ（またはドキュメントのセキュリティ属性）が取得されたかが判断される（Ｓ１０１）。ドキュメントＩＤが取得されたなら（Ｓ１０１でＹＥＳ）、ドキュメントのセキュリティ属性と、コピージョブを行うユーザのユーザ情報に基づき、ルールテーブル１５０を参照して、コピージョブの出力を許可するかが判断される（Ｓ１０２）。出力が禁止される場合は（Ｓ１０２でＮＯ）、画像データを印刷することなく、破棄する（Ｓ１０４）。

複写が許可される場合は（Ｓ１０２でＹＥＳ）、このコピージョブの実行について報告が必要か否か判断される（ステップＳ１０３）。ルールテーブル１５０に報告が必要である旨が定義されている場合は（Ｓ１０３でＹＥＳ）、画像データを印刷するとともに、関係部署に報告する（Ｓ１０５）。報告が不要な場合は（Ｓ１０３でＮＯ）、そのまま所定の用紙上に画像データを印刷する（Ｓ１０６）。なお、ステップＳ１０３の処理は必須ではなく、任意でスキップしてもよい。

ドキュメントＩＤが取得されない場合は（Ｓ１０１でＮＯ）、読み取った画像データをユーザ情報と関連付けてイメージログに保存する（Ｓ１０７）。保存された画像データに対するアクセス(読み出し)要求があると（Ｓ１０８）、アクセス要求を行ったユーザのユーザ情報に基づいて、読み出しを許可するか否かの判断を行う（Ｓ１０９）。要求が許可されると（Ｓ１０９でＹＥＳ），イメージログＤＢ４９から保存された画像データを読み出し、用紙上へ複写する。このとき、イメージログ４９からの読み出しを行った旨のメッセージを、アクセスしたユーザの情報とともに出力してもよい。

図７は、イメージログ４９から読み出され、出力された画像の一例である。図７の例では、スキャン番号、読み取り日時、ユーザ情報などが、読み取られた画像とともに印刷されている。

イメージログの出力は、スキャナ１１０Ａの場合は電子ファイルの転送、コピア１１０ｂであれば、紙出力となるが、今後は、マルチファンクション機に高解像度のディスプレイが搭載されるようになると、高解像ディスプレイ上での画像表示も考えられる。

このように、第１実施形態の画像形成装置によれば、個別の機器について容易にルール設定、変更ができ、設定されたセキュリティ状態の管理、把握が容易である。また、セキュリティ管理基準を満たすときには画像出力が行われ、セキュリティ管理に抵触する場合は、画像出力が行われないので、各ユーザが実行時にセキュリティ状態を認識することができる。

さらに、原稿の文書ＩＤまたはドキュメントプロファイルが取得されない場合に、画像を複写、転送する変わりに、イメージログに保存するので、セキュリティ管理基準が不明確な文書についても、セキュリティが維持される。

上述したスキャナやコピアの動作は、ソフトウエアプログラムによって実現されてもよい。この場合、画像形成プログラムがスキャナあるいはコピアにインストールされて、
（ａ）ユーザの画像形成要求に応じて読み取られた原稿から画像データを生成させる手順と、
（ｂ）読み取られた原稿から、当該原稿のセキュリティ属性を含むドキュメント情報を取得させる手順と、
（ｃ）ユーザのセキュリティ属性を含むユーザ情報を取得させる手順と、
（ｄ）ユーザ情報およびドキュメント情報に基づき、所定のルールを参照して、前記読み取られた原稿の画像データの出力の可否を判断させる手順と、
（ｅ）前記原稿からドキュメント情報が取得されない場合に、前記要求された画像データ出力を行わずに、当該画像データを前記ユーザ情報と関連付けて保存させる手順
が実行される。

次に、図８および９を参照して、本発明の第２実施形態について説明する。

図８Ａは、第２実施形態の画像形成装置をスキャナに適応した例、図８Ｂはコピアに適用した例を示す概略ブロック図である。

第２実施形態では、ログ管理手段の構成が第１実施形態と異なる。すなわち、スキャナ２１０Ａおよびコピア２１０Ｂのログ管理手段５０は、イメージログ記録手段４７、イメージログ読み出し手段４８、イメージログＤＢ４９に加え、アクセスログ記録手段５１ａ、アクセスログ読み出し手段５１ｂ、アクセスログＤＢ５２を有する。

アクセスログ記録手段５１ａは、イメージログ読み出し手段４８がアクセス要求を受け付ける都度、そのアクセス要求をユーザ情報と関連付けて、アクセスログＤＢ５２に記録する。また、それぞれのアクセス要求について、読み出しが許可されたか、拒絶されたかについての情報も、関連付けて記録する。

記録されたアクセスログは、ログ読み出し要求に応じて、出力される。第１実施形態では、アクセス要求が拒絶された場合、あるいは文書のセキュリティ属性とユーザのセキュリティ属性によっては、アクセス要求が許可された場合も、システム管理者へメール等によるメッセージ送信が行われたが、第２実施形態では、アクセスログＤＢ５２に全アクセス記録を保存することによって、システム管理者は、誰がどの文書をコピーあるいはスキャン転送しようとした場合に、出力または拒絶されたかを分析することができる。

図９は、アクセスログの出力例を示す。イメージログと同様に、スキャナ２１０Ａであれば電子ファイルとして転送し、コピア２１０Ｂであれば、紙出力とする。また、アクセスログは、イメージログと異なり、文字によるリストなので、表示部３１に表示する構成としてもよい。

図１０Ａおよび図１０Ｂは、本発明の第３実施形態に係る画像形成装置の概略ブロック図である。図１０Ａは、第３実施形態の画像形成装置をスキャナ３１０Ａに適用した例、図１０Ｂはコピア３１０Ｂに適用した例を示す。

３実施形態では、ドキュメントプロファイルが取得できない場合に、読み取られた原稿がセキュリティ管理下にある文書かどうかを判断する。ログ管理手段６０は、第２実施形態の構成に加えて、文字読み取り手段５３と文書検索手段５４を含む。文字読み取り手段５３は、保存された画像データから、タイトルや所定の行の画像データを抽出し、これを文字認識して、文字列に変換する。文書検索手段５４は、画像形成装置（スキャナ３１０Ａまたはコピア３１０Ｂ）内部または外部の文書管理データベース５５にアクセスして、文書管理データベース５５中に、変換された文字列を含む文書があるか検索する。

変換された文字列を含む文書が文書管理データベース５５にある場合は、読み取られた原稿はセキュリティ管理下にある文書であると考えられる。この場合、原稿には文書ＩＤが付されているにもかかわらず、文書ＩＤが読み取られなかったことになる。原稿の汚れや、読み取り手段３３の感度の低下が原因となっていることもあるが、文書ＩＤをわざと隠して不正コピー、不正スキャンが行われている可能性が高い。

そこで、抽出された文字列が文書管理データベース５５中の文書データと一致する場合は、セキュリティ管理下にある文書の文書ＩＤが読み取られなかった旨のメッセージを、システム管理者に送信する。あるいは、ユーザのセキュリティ属性によっては、保存された画像データを出力するとともに、文書ＩＤが読み取られなかった旨を管理者に報告してもよい。

文書管理データベース５５に、抽出された文字列の一致が見つからない場合は、もともとセキュリティ管理下にない原稿である可能性が高い。この場合は、一致する文字列が文書管理データベース５５に存在しない旨のメッセージを送信して、保存された画像データを出力する。出力後に、イメージログ４９から画像データを削除する。

文字列の一致、不一致に応じた画像データの処理手順は、画像形成装置が設置される環境等を考慮して、ルールテーブルに適切に規定することができる。

なお、図１０Ａおよび図１０Ｂの例では、文書管理データベース５５は画像形成装置内に設けられているが、外部に独立した文書管理データベース５５を設けてもよい。この場合、文書管理検索手段５４は、図示しないインタフェースを介して文字列の一致を検索することができる。

文字列の検索は、ドキュメントプロファイルが取得不能により画像データがイメージログ４９に保存されたときに、自動的に開始してもよい。あるいは、ユーザまたは管理者からの検索指示に基づいて検索を開始してもよい。たとえば、ドキュメントプロファイルが取得されなかったときに、その旨を表示手段３１に表示する。ユーザまたはシステム管理者は、入力部１８（図１参照）から検索指示を入力する。文字列が検索される間、抽出され変換された文字列が表示手段３１に表示される。文字列の一致が検出されると、検索された文書の文字列に対応する部分も、表示手段３１に表示される。ユーザまたは管理者は、表示手段３１上で、文字列が実際に一致しているかどうかを確認し、ドキュメントプロファイルが取得できなかった原因を解明する。

文書検索手段６２は、文字列の一致、不一致、画像データの出力の有無について、ユーザＩＤと関連付けて検索ログとして記録してもよい。

第３実施形態の画像形成装置によれば、原稿から文書ＩＤが取得されない場合でも、原稿のセキュリティを維持した処理が行われる。また、セキュリティ管理下にある文書と、一般文書（雑誌、書籍等）が、同程度の頻度で取り扱われる環境でも、画像形成ジョブを妨げることなく、秘密文書のセキュリティを確保できる。

図１１は、本発明の第４実施形態に係る画像形成装置の概略ブロック図である。図１１Ａは、第４実施形態の画像形成装置をスキャナ４１０Ａに適用した例、図１１Ｂはコピア４１０Ｂに適用した例である。

第４実施形態でも、第３実施形態と同様に、セキュリティ管理下の文書か否かを判断するが、文字列を抽出する代わりに、画像データ全体としての特徴量を利用して比較する。画像全体の特徴量とは、たとえば、濃淡分布や空間周波数分布である。

ログ管理手段７０は、イメージログＤＢ４９に保存された画像データの特徴量を抽出する特徴量抽出手段６１と、画像形成装置の内部または外部の文書管理データベース６３にアクセスして、抽出された画像データの特徴を含む文書が、前記文書管理データベース６３中に含まれるかどうかを検索する文書検索手段６２を有する。印刷画像生成手段６４は、文書管理データベース６３に格納された文書データを、画像データに変換する。第２の特徴量抽出手段６５は、変換された画像データから、特徴量を抽出する。文書検索手段６２は、第１の特徴量抽出手段６１で抽出された画像データの特徴量と、第２の特徴量抽出手段６５で抽出された文書管理データベース６３内の文書の特徴量とを比較し、特徴量が一致する文書があるかどうか判断する。

特徴量が一致する場合、すなわち読み取られた原稿と濃淡分布や空間周波数分布がほぼ同じ文書が文書管理データベース６３内にある場合は、セキュリティ管理下にある原稿であるにもかかわらず、文書ＩＤが取得されなかったことを意味する。したがって、出力を禁止して、セキュリティ管理下の文書ＩＤが取得されなかった旨のメッセージを管理者に送信する。ルールの設定によっては、保存された画像データを出力するとともに、セキュリティ管理下の文書ＩＤが取得されなかった旨を報告する構成としてもよい。

特徴量の一致が見つからない場合は、セキュリティ管理下にない一般文書である可能性が高い。この場合は、画像データを出力するとともに、特徴量の不一致を示すメッセージを管理者に報告する。

第４実施形態の文書検索は、文字列を読み取る第３実施形態と比較して、検索精度はやや劣るが、処理時間が短縮できる。

図１２は、本発明の第５実施形態に係る画像形成システムの概略構成図である。画像形成システムは、画像形成ユニット１、ユーザプロファイル管理ユニット２と、ドキュメントプロファイル管理ユニット３と、動作要件管理ユニット４と、ログ管理ユニット５と、文書管理ユニット６を含み、これらはネットワークを介して互いに接続されている。

画像形成ユニット１は、たとえば複写機であり、ユーザの要求に応じて原稿を読み取って画像データ３０を生成する読み取り手段３３と、画像データに所定の画像処理を行って蓄積データ２４を生成するデータ処理手段３４と、複写条件取得手段２６と、画像形成動作を制御する動作制御手段１０Ａを含む。ユーザプロファイル管理ユニット２は、ユーザプロファイル取得手段４１を含み、画像形成ユニット１を使用するユーザのプロファイルを取得して管理する。ドキュメントプロファイル管理ユニット３は、ドキュメントプロファイル取得手段４３を含み、画像形成ユニット１で取り扱われる原稿からドキュメントプロファイルを取得し、管理する。動作要件管理ユニット４は、動作要件選択手段４５を含み、画像形成に関する所定のルールを記述するルールテーブル１５０（図５）を参照して、前記画像形成ユニット１で読み取った原稿の画像データの出力の可否を判断する。ログ管理ユニット５は、図１２の例では、第２実施形態のログ管理手段５０と同様の構成をとる。ログ管理ユニット５は、ドキュメントプロファイル管理ユニット３でドキュメントプロファイルが取得されない場合に、形成ユニット１から画像データを受け取り、ユーザプロファイルと関連付けてイメージログＤＢ４９に保存する。

画像形成ユニット１は、ドキュメントプロファイルが取得されない場合には、許可があるまで要求された画像形成ジョブの出力を行わない。

ログ管理ユニット５は、保存した画像データに対するアクセス要求があったときに、当該アクセス要求を行ったユーザのセキュリティ属性にしたがって、アクセスの許否を判断する。アクセスを許可する場合に、ネットワークを介して、保存された画像データを画像形成ユニット１に送信する。

また、すべてのアクセス要求は、ユーザプロファイルと関連付けてアクセスログＤＢ５２に記録される。

文書管理ユニット６は、任意でネットワークに接続される。図１２の例では、文書管理ユニット６は、特徴量抽出手段６６と、文書検索手段６２と、文書管理データベース６８と、印刷画像生成手段６４を有する。文書検索手段６２は、ドキュメントプロファイル管理ユニット３でドキュメントプロファイルが取得されないときに、画像形成ユニット１で読み取られた原稿の画像データ全体の特徴量と同じ特徴量を有する文書が、文書管理データベース６８に含まれているかを検索する。

動作要件管理手段４は、検索結果に応じて、ログ管理手段５に保存された画像データの出力の可否を判断して、画像形成ユニット１に通知する。

第５実施形態では、第１〜第４実施形態の画像形成装置の各機能を分散し、負荷を軽減して処理の迅速化を図る。セキュリティ維持の効果は、第１実施形態〜第４実施形態と同様である。

図１３は、本発明の第６実施形態に係るセキュリティ管理装置９０を含む画像形成システムの概略構成図である。セキュリティ管理装置９０は、ネットワークを介して画像形成ユニット１、ユーザプロファイル管理ユニット２、ドキュメントプロファイル管理ユニット３、文書管理ユニット６と接続される。

セキュリティ管理装置９０は、動作要件選択部４と、動作制御部１０ｂと、ログ管理部５を有する。動作要件選択部４は、ユーザのセキュリティ属性と、セキュリティ管理下にある文書のセキュリティ属性とを基準とする画像形成関連のルールを記述するルールテーブル１５０（図５参照）を有する。ドキュメントプロファイル管理ユニット３が画像形成ユニット１で読み取られた原稿からドキュメントプロファイルを取得した場合に、ルールテーブル１５０を参照して、画像データの印刷または転送の可否を判断する。

動作制御部１０ｂは、ドキュメント情報が取得されない場合に、画像形成ユニット１に前記画像データの印刷または当該セキュリティ管理装置９０以外の機器への転送を禁止する。ログ管理部５は、ドキュメント情報が取得されない場合に、画像形成ユニット１から画像データを受け取って、ユーザ情報と関連付けてイメージログＤＢ４９に保存する。

保存された画像データに対するアクセス要求があったときは、ログ管理部５は、アクセス要求を行ったユーザのセキュリティ属性に従って、読み出し許否を判断する。読み出しを許可する場合に、動作制御手段１０ｂは、保存された画像データを画像形成ユニット１に送信する指示を出す。

ログ管理部５は、保存された画像データに対するアクセス要求があったときに、アクセス要求をユーザ情報と関連付けてアクセスログＤＢ５２に記録する。

このようなセキュリティ管理装置により、コピーやスキャンしようとする原稿のドキュメントプロファイルを取得できない場合でも、原稿のセキュリティが維持される。

セキュリティ管理装置９０の動作は、ソフトウエアプログラムによって実行されてもよい。この場合、セキュリティ管理プログラムがセキュリティ管理装置９０にインストールされて、
（ａ）ユーザの画像形成要求に従って前記画像形成装置で読み取られた原稿について、当該原稿のセキュリティ属性を含むドキュメント情報を取得させる手順と、
（ｂ）ユーザのセキュリティ属性を含むユーザ情報を取得させる手順と、
（ｃ）前記ユーザ情報およびドキュメント情報に基づき、あらかじめ記述された画像形成に関する所定のルールを参照して、前記読み取られた原稿の画像データの出力の可否を判断させる手順と、
（ｄ）前記ドキュメント情報が取得されない場合に、前記画像形成装置に対して、前記要求された画像形成出力を禁止させ、前記画像装置から前記画像データを受信して、前記ユーザ情報と関連付けて保存させる手順と
が実行される。

図１２および図１３では、画像形成ユニットが１つだけネットワークに接続されている例を示したが、複数の画像形成ユニットに対して、ユーザプロファイル管理ユニット２、ドキュメントプロファイル管理ユニット３、セキュリティ管理ユニット９０、文書管理ユニット６を共通に使用してもよい。この場合、動作要件選択手段４５のルールテーブル１５０に、画像形成ユニットごとのルールを定義することによって、複数ジョブに対するセキュリティを統一的に管理することができる。

本発明が適用される画像形成装置の概略ハードウェア構成図である。 本発明の第１実施形態に係る画像形成装置のスキャナへの適用例を示す図である。 第１実施形態の画像形成装置のコピアへの適用例を示す図である。 ドキュメントプロファイル取得手段の機能構成例である。 ドキュメントプロファイル取得手段の別の機能構成例である。 ユーザプロファイル取得手段の機能構成例である。 セキュリティテーブルに定義されるセキュリティルールの一例を示す図である。 第１実施形態に係る画像形成装置の動作を示すフローチャートである。 イメージログの出力例を示す図である。 本発明の第２実施形態に係る画像形成装置のスキャナへの適用例を示す図である。 第２実施形態の画像形成装置のコピアへの適用例を示す図である。 アクセスログの出力例を示す図である。 本発明の第３実施形態に係る画像形成装置のスキャナへの適用例を示す図である。 第３実施形態の画像形成装置のコピアへの適用例を示す図である。 本発明の第４実施形態に係る画像形成装置のスキャナへの適用例を示す図である。 第４実施形態の画像形成装置のコピアへの適用例を示す図である。 本発明の第５実施形態に係る画像形成システムの概略構成図である。 本発明の第６実施形態に係る画像形成システムの概略構成図である。

符号の説明

１０ 動作制御手段
１１０ 画像形成装置
１１０Ａ，２１０Ａ，３１０Ａ、４１０Ａ スキャナ（画像形成装置）
１１０Ｂ，２１０Ｂ，３１０Ｂ、４１０Ｂ コピア（画像形成装置）
３３ 読み取り手段
４０、５０、６０、７０ ログ管理手段
４１ ユーザプロファイル取得手段４１
４３ ドキュメントプロファイル取得手段４３
４５ 動作要件選択手段
４７ イメージログ記録手段
４８ イメージログ読み出し手段
４９ イメージログＤＢ
５１ａ アクセスログ記録手段
５１ｂ アクセスログ読み出し手段
５２ アクセスログＤＢ
９０ セキュリティ管理装置

Claims (27)

1. ユーザからの入力に応じて当該ユーザの識別情報に基づいて前記ユーザのセキュリティ属性を含むユーザ情報をユーザデータベースから取得するユーザ情報取得手段と、
   読み取られた原稿から当該原稿に含まれる文書の識別情報を読み取り、前記文書の識別情報に基づいて前記文書のセキュリティ属性を含むドキュメント情報をドキュメントデータベースから取得するドキュメント情報取得手段と、
   複数段階に分けられたユーザのセキュリティレベルと、複数段階に分けられたドキュメントのセキュリティレベルの組み合わせの各々に対応して、画像形成装置が実行する処理をあらかじめ定義したセキュリティルールを記述するルールテーブルを有し、前記ユーザのセキュリティ属性に含まれる当該ユーザのセキュリティレベルおよび前記文書のセキュリティ属性に含まれる当該文書のセキュリティレベルに基づき、前記セキュリティルールを参照して、前記読み取られた原稿の画像データの出力の可否を判断するとともに、前記セキュリティルールに定義づけられた処理を選択する動作要件選択手段と、
   前記動作要件選択手段によって選択された処理を実行する動作制御手段と
   を備える画像形成装置。
2. 前記画像データを前記ユーザ情報と関連付けて保存するログ管理手段、
   をさらに備え、
   前記動作制御手段は、前記ドキュメント情報取得部で前記ドキュメント情報が取得されない場合は、前記画像データの出力を行わずに、前記入力したユーザのユーザ情報と関連付けて前記画像データを前記ログ管理手段に保存させる
   ことを特徴とする請求項１に記載の画像形成装置。
3. 前記動作要件選択手段は、前記読み取った原稿から前記ドキュメント情報が取得される場合に、前記ルールテーブルの記述内容に従って、前記画像データの出力を禁止し、または、追跡可能な情報を埋め込んで出力することを許可することを特徴とする請求項１に記載の画像形成装置。
4. 前記動作制御手段は、前記ドキュメント情報取得部で前記ドキュメント情報が取得されない場合に、前記画像データを前記ログ管理手段に保存させるとともに、前記ドキュメント情報が取得されなかった旨を管理者に報告させることを特徴とする請求項２に記載の画像形成装置。
5. 前記ログ管理手段は、前記保存された画像データに対する読み出し要求があったときに、前記読み出し要求を行ったユーザのセキュリティ属性に基づいて読み出しの可否を判断し、許可される場合に、前記保存された画像データを読み出して出力することを特徴とする請求項２に記載の画像形成装置。
6. 前記ログ管理手段はハッシュ関数を有し、前記保存された画像データの読み出しを許可する場合に、前記ハッシュ関数を用いて当該画像データに対する改ざんの有無をチェックすることを特徴とする請求項５に記載の画像形成装置。
7. 前記ログ管理手段は、前記保存された画像データに対する読み出し要求があったときに、当該読み出し要求を、読み出し要求を行ったユーザのユーザ情報と関連付けて記録することを特徴とする請求項２に記載の画像形成装置。
8. 前記ログ管理手段は、
   前記保存された画像データの一部を抽出して文字列に変換する文字読み取り手段と、
   前記画像形成装置の内部又は外部の文書管理データベースにアクセスして、前記文書データベース中に、前記文字列を含む文書があるかどうかを検索する文書検索手段と
   を有し、前記文書管理データベース中に前記文字列と一致する文書がある場合は、セキュリティ管理下にある文書の識別情報が読み取られなかった旨のメッセージを管理者に送信することを特徴とする請求項２に記載の画像形成装置。
9. 前記ログ管理手段は、
   前記保存された画像データの特徴量を抽出する特徴抽出手段と、
   前記画像形成装置の内部又は外部の文書管理データベースにアクセスして、前記抽出された画像データの特徴量と一致する特徴量を有する文書が、前記文書管理データベース中に含まれるかどうかを検索する文書検索手段と
   を有し、前記文書管理データベース中に前記画像データの特徴量と一致する特徴量を含む文書がある場合は、セキュリティ管理下にある文書の識別情報が読み取られなかった旨のメッセージを管理者に送信することを特徴とする請求項２に記載の画像形成装置。
10. 前記ログ管理手段は、前記文書管理データベース中に、前記読み取られた原稿に対応する文書がない場合に、前記保存された画像データを出力するとともに、前記一致がないことを示すメッセージを出力することを特徴とする請求項８または９に記載の画像形成装置。
11. 画像形成を行う画像形成ユニットと、
    ユーザからの入力に応じてユーザの識別情報に基づいて前記ユーザのセキュリティ属性を含むユーザプロファイルをユーザデータベースから取得するユーザプロファイル管理ユニットと、
    前記画像形成ユニットにより読み取られた原稿に含まれる文書の識別情報に基づいて、当該文書のセキュリティ属性を含むドキュメントプロファイルをドキュメントデータベースから取得するドキュメントプロファイル管理ユニットと、
    複数段階に分けられたユーザのセキュリティレベルと、複数段階に分けられた文書のセキュリティレベルの組み合わせの各々に対応して、画像形成装置が実行する処理をあらかじめ定義したセキュリティルールを記述するルールテーブルを有し、前記取得されたユーザのセキュリティ属性に含まれる当該ユーザのセキュリティレベルと、前記読み取られた原稿のセキュリティ属性に含まれる当該文書のセキュリティレベルとに基づき、前記ルールテーブルを参照して、前記画像形成ユニットにより読み取った原稿の画像データの出力の可否を判断するとともに、前記セキュリティルールに定義づけられた処理を選択する動作要件管理ユニットと、
    前記動作要件管理ユニットによって選択された処理を実行する動作制御ユニットと、
    がネットワークを介して互いに接続されていることを特徴とする画像形成システム。
12. 前記画像データを前記ユーザプロファイルと関連付けて保存するログ管理ユニット、
    が前記ネットワークを介してさらに接続され、
    前記ログ管理ユニットは、前記ドキュメントプロファイル管理ユニットで前記文書のドキュメントプロファイルが取得されない場合に、前記画像形成ユニットから前記画像データを受け取り、前記ユーザのユーザプロファイルと関連付けて保存することを特徴とする請求項１１に記載の画像形成システム。
13. 前記ログ管理ユニットは、前記保存した画像データに対するアクセス要求があったときに、当該アクセス要求を行ったユーザのセキュリティ属性にしたがって、アクセスの拒否を判断し、アクセスを許可する場合に、前記ネットワークを介して、前記保存された画像データを前記画像形成ユニットに送信することを特徴とする請求項１２に記載の画像形成システム。
14. ネットワークを介して画像形成装置と接続されるセキュリティ管理装置であって、
    前記画像形成装置を使用するユーザの複数段階に分けられたセキュリティレベルと、セキュリティ管理下にある文書の複数段階に分けられたセキュリティレベルの組み合わせの各々に対応して、前記画像形成装置が実行する処理をあらかじめ定義したセキュリティルールを記述するルールテーブルと、
    前記画像形成装置で処理される原稿に含まれる文書のセキュリティ属性を含むドキュメント情報と、前記画像形成装置に入力を行ったユーザのセキュリティ属性をふくむユーザ情報を前記ネットワーク上のプロファイル管理手段から取得した場合に、前記文書のセキュリティ属性に含まれる前記文書のセキュリティレベルと、前記ユーザのセキュリティ属性に含まれる前記ユーザのセキュリティレベルとに基づき、前記ルールテーブルを参照して、前記画像形成装置による画像形成処理の実行の可否を判断するとともに、前記セキュリティルールに定義づけられた処理を選択する動作要件選択部と、
    前記動作要件選択部により選択された処理を前記画像形成装置に実行させる動作制御部と、
    を備えることを特徴とするセキュリティ管理装置。
15. 前記画像形成装置で処理された前記文書の画像データと前記ユーザ情報を関連付けて保存するログ管理部、
    をさらに有し、
    前記ログ管理部は、前記ネットワークを介して前記ドキュメント情報が取得されない場合に、前記ネットワークを介して前記画像形成装置から前記画像データを受け取り、前記入力を行ったユーザのユーザ情報と関連付けて保存することを特徴とする請求項１４に記載のセキュリティ管理装置。
16. 前記ログ管理部は、前記保存された画像データに対する読み出し要求があったときに、当該読み出し要求を行ったユーザのセキュリティ属性を前記ネットワーク上のプロファイル管理手段から取得し、前記ユーザのセキュリティ属性に従って、読み出しの許否を判断し、読み出しを許可する場合に、前記画像形成装置に、前記保存された画像データを送信することを特徴とする請求項１５に記載のセキュリティ管理装置。
17. 前記ログ管理部は、前記保存された画像データに対する読み出し要求があったときに、当該読み出し要求を、読み出し要求を行ったユーザのユーザ情報と関連付けて記録するアクセスログ記録手段をさらに有することを特徴とする請求項１６に記載のセキュリティ管理装置。
18. 文書のセキュリティを管理するセキュリティ管理装置において、複数段階に分けられたユーザのセキュリティレベルと複数段階に分けられた文書のセキュリティレベルの組み合わせの各々に対応して画像形成装置が実行する処理をあらかじめ定義したセキュリティルールを格納するステップと、
    前記画像形成装置へのユーザ入力に応じてユーザの識別情報に基づき前記ユーザのセキュリティ属性を含むユーザ情報をユーザデータベースから取得するステップと、
    前記画像形成装置で読取られた原稿に含まれる文書の識別情報を抽出し、前記識別情報に基づいて前記文書のセキュリティ属性を含むドキュメント情報をドキュメントデータベースから取得するステップと、
    前記セキュリティ管理装置において、前記ユーザ情報の前記セキュリティ属性に含まれる前記ユーザのセキュリティレベルおよび前記ドキュメント情報の前記セキュリティ属性に含まれる前記文書のセキュリティレベルに基づき、前記セキュリティルールを参照して、前記画像形成装置で読み取られた原稿の画像データの出力の可否を判断するとともに、前記セキュリティルールに定義づけられた処理を選択するステップと、
    前記セキュリティ管理装置の動作制御手段により、前記画像形成装置に前記選択された処理を実行させるステップと
    を含むセキュリティ管理方法。
19. 前記文書の識別情報又は前記ドキュメント情報が取得されない場合に、前記セキュリティ管理装置において、前記画像形成装置による前記画像データの出力を禁止し、前記画像データを前記画像形成装置から受け取って前記ユーザ情報と関連付けて保存するステップ、
    をさらに含むことを特徴とする請求項１８に記載のセキュリティ管理方法。
20. 前記セキュリティ管理装置により前記画像データの出力が許可される場合に、前記画像形成装置において前記画像データに追跡可能情報を埋め込んで出力するステップをさらに含むことを特徴とする請求項１９に記載のセキュリティ管理方法。
21. 前記セキュリティ管理装置により前記画像データの出力が許可される場合に、前記画像形成装置において前記画像データを出力するとともに、当該画像データの出力を関連部署に報告するステップをさらに含むことを特徴とする請求項１９に記載のセキュリティ管理方法。
22. 前記セキュリティ管理装置において、前記保存された画像データに対するアクセス要求があった場合に、当該アクセス要求を行ったユーザのセキュリティ属性に応じてアクセスの許否を判断し、前記アクセスを許可する場合に、前記保存した画像データを出力するステップをさらに含むことを特徴とする請求項１９に記載のセキュリティ管理方法。
23. 前記保存された画像データに対するアクセス要求があった場合に、前記セキュリティ管理装置において、当該アクセス要求を、アクセス要求を行ったユーザのユーザ情報と関連付けて記録するステップをさらに含むことを特徴とする請求項１９に記載のセキュリティ管理方法。
24. 画像形成装置に以下の手順を実行させる命令列を含む画像形成プログラム：
    ユーザからの入力に応じてユーザの識別情報に基づいて前記ユーザのセキュリティ情報を含むユーザ情報をユーザデータベースから取得させる手順；
    前記画像形成装置で読取られた原稿から、当該原稿に含まれる文書の識別情報を読取らせ、前記識別情報に基づいて前記文書のセキュリティ属性を含むドキュメント情報をドキュメントデータベースから取得させる手順；
    複数の段階に分けられたユーザのセキュリティレベルと複数の段階に分けられた文書のセキュリティレベルの組み合わせの各々に対応して前記画像形成装置が実行する処理をあらかじめ定義したセキュリティルールを参照させて、前記ユーザ情報に含まれる当該ユーザのセキュリティレベルおよび前記ドキュメント情報に含まれる前記文書のセキュリティレベルに基づき、前記読み取られた原稿の画像データの出力の可否を判断させるとともに、前記セキュリティルールに定義づけられた処理を選択させる手順；および
    前記選択された処理を前記画像形成装置に実行させる手順。
25. 請求項２４記載の画像形成プログラムを格納する電磁的又は光学的記録媒体。
26. ネットワークを介して画像形成装置と接続されるセキュリティ管理装置に、以下の手順を実行させる命令列を含むセキュリティ管理プログラム：
    前記画像形成装置で読み取られた原稿について、当該原稿に含まれる文書のセキュリティ属性を含むドキュメント情報を前記ネットワーク上のドキュメントプロファイル管理手段から取得させる手順；
    ユーザからの入力に応じてユーザの識別情報に基づいて前記ユーザのセキュリティ属性を含むユーザ情報を前記ネットワーク上のユーザプロファイル管理手段から取得させる手順；
    前記ユーザ情報に含まれる前記ユーザのセキュリティレベルおよび前記ドキュメント情報に含まれる前記文書のセキュリティレベルに基づき、複数の段階に分けられたユーザのセキュリティレベルと複数の段階に分けられた文書のセキュリティレベルの組み合わせの各々に対応して前記画像形成装置が実行する処理をあらかじめ定義したセキュリティルールを参照させて、前記読み取られた原稿の画像データの出力の可否を判断させるとともに、前記セキュリティルールに定義づけられた処理を選択させる手順；および
    前記選択された処理を、前記ネットワークを介して前記画像形成装置に実行させる手順。
27. 請求項２６記載のセキュリティ管理プログラムを格納する電磁的又は光学的記録媒体。

Images