JP6102221B2 - セキュリティ管理システム、入力制御機器、セキュリティ管理方法およびプログラム - Google Patents

Description

本発明は、セキュリティ管理システム、入力制御機器、セキュリティ管理方法およびプログラムに関する。

近年、オフィス機器１０のセキュリティへの関心が高まっており、ネットワークに繋がる様々な機器は、ユーザの要求するセキュリティ要件を満たすために、各種多様なセキュリティ機能を搭載している。例えば、ＭＦＰ(Multifunction Peripheral)のセキュリティ機能としては、ユーザ認証、データ暗号化、ＨＤＤ残存データの自動消去、ネットワークプロトコルの開閉、文書アクセス制御などが挙げられる。

一方、機器の種類やメーカが異なれば、機器で扱うセキュリティ資産も異なり、それに伴いセキュリティの設定項目にも違いがある。そこでユーザは、自身（自社）のセキュリティポリシーに基づいて各機器のセキュリティレベルの設定を個別に行う。その際、機器の管理者は、それらが正しく設定されているかどうかを管理する必要がある。そこで、ＰＣに関しては、ユーザのセキュリティポリシーに合致しているかどうかをインベントリ情報から判断する技術が知られている（例えば、特許文献１を参照）。

特許文献１では、ＰＣのセキュリティ対策状況を一元管理し、管理者がセキュリティポリシーに違反しているかどうかを判断できるようにすることを目的としている。そこで、特許文献１では、クライアントＰＣのインベントリ情報、ＩＴ環境使用状況、操作ログ情報を収集し、それらの情報がサーバコンピュータに送信される。サーバコンピュータは、送信された各情報とセキュリティポリシーを記憶し、送信された各情報がセキュリティポリシーに合致しているかどうかを判定する。また、特許文献１には、その結果を表示し、管理者に通知することが開示されている。

特許文献１等の従来のシステムでは、ＰＣのセキュリティ管理はできる。しかしながら、ネットワークに接続される多機種のオフィス機器１０のセキュリティの入力に対して、自動的に入力がセキュリティポリシーに違反しているかを検知することができないという課題を有していた。

上記課題に鑑み、本発明の目的とするところは、ネットワークを介して接続された複数機種のクライアント機器のセキュリティレベルの入力と、該セキュリティレベルの入力が違反かの判定とが可能な、セキュリティ管理システム、入力制御機器、セキュリティ管理方法およびプログラムを提供することにある。

上記課題を解決するために、本発明のある観点によれば、ネットワークを介して接続された複数機種のクライアント機器のセキュリティ管理システムであって、前記複数機種のクライアント機器の少なくともいずれかのクライアント機器の複数の機能の少なくともいずれかの機能について、機能毎にセキュリティレベルを入力する入力手段を含む入力制御機器と、機種毎に複数の機能について機能毎に設定されたセキュリティレベルを保持するセキュリティ設定テーブルに基づき、入力された前記少なくともいずれかの機能のセキュリティレベルを、前記複数機種のクライアント機器から通知された機種識別情報から識別される機種の、対応する機能のセキュリティレベルとして設定することが違反か否かを判定する判定手段と、を有することを特徴とするセキュリティ管理システムが提供される。

本発明によれば、ネットワークを介して接続された複数機種のクライアント機器のセキュリティレベルの入力、及び該セキュリティレベルの入力が違反かの判定を行うことができる。

第１実施形態に係るセキュリティ管理システムの全体構成図。 第１〜第３実施形態に係るレベル定義テーブル例。 第１〜第３実施形態に係るレベル定義テーブル（組合せ）例。 第１〜第３実施形態に係る第１の入力画面を示した図。 第１〜第３実施形態に係る第２の入力画面を示した図。 第１〜第３実施形態に係るセキュリティ設定テーブル例。 第１実施形態に係るセキュリティ管理処理を示したフローチャート。 第１〜第３実施形態に係るセキュリティ設定テーブルと通知されたセキュリティレベルとを示した図。 第１実施形態の変形例１に係るセキュリティ管理処理を示したフローチャート。 第１実施形態の変形例２に係るセキュリティ管理処理を示したフローチャート。 第２実施形態に係るセキュリティ管理システムの全体構成図。 第２実施形態に係るセキュリティ管理処理を示したフローチャート。 第３実施形態に係るセキュリティ管理システムの全体構成図。 第３実施形態に係るセキュリティ管理処理を示したフローチャート。 第３実施形態の変形例１に係るセキュリティ管理処理を示したフローチャート。 第１〜第３実施形態に係るレベル定義テーブル（入力制限）を示した図。 第１〜第３実施形態に係る第１の入力画面（入力制限）を示した図。

以下、本発明の好適な実施形態について添付の図面を参照しながら説明する。なお、本明細書及び図面において、実質的に同一の構成については、同一の符号を付することにより重複した説明を省く。

＜第１実施形態＞
［システムの全体構成］
まず、本発明の第１実施形態に係るセキュリティ管理システムについて、図１を参照しながら説明する。図１は、第１実施形態に係るセキュリティ管理システムの全体構成図である。第１実施形態に係るセキュリティ管理システム１は、ネットワークを介して複数機種の機器１０ａ〜１０ｅ（以下、機器１０ａ〜１０ｅを総称してオフィス機器１０ともいう。）とリモートセンタ７０とが接続されたシステムである。複数機種のオフィス機器１０とリモートセンタ７０との間には仲介機器３０が設けられている。

仲介機器３０は、社内ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）や社内ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の社内ネットワーク２０を介して複数機種のオフィス機器１０に接続されている。仲介機器３０はまた、インターネット６０等の社外ネットワークを介してリモートセンタ７０と接続されている。

仲介機器３０は、ユーザ環境の社内ネットワーク２０に接続されているオフィス機器１０の各種設定やオフィス機器１０の状態を、リモートセンタ７０に通知する機能を有している。例えば、仲介機器３０は、トナー等のサプライの状態をリモートセンタ７０に通知する。その通知を受信したリモートセンタ７０は、サプライがエンド状態かどうかを判断し、エンド状態(またはニアエンド状態)であれば、ユーザ側の所望のオフィス機器１０にサプライを自動的に搬送する。これにより機器のベンダはユーザに自動でサプライを供給するサービスを提供することができる。

同様に、仲介機器３０は、オフィス機器１０のセキュリティ設定をリモートセンタ７０に通知する。

リモートセンタ７０は、複数のユーザのオフィス機器１０に関する情報を一括管理する。リモートセンタ７０は、仲介機器３０より通知されるユーザのオフィス機器１０に関する情報を保持し、その情報に基づきユーザにサービスを提供する。具体的には、リモートセンタ７０は、複数機種のオフィス機器１０に関する情報を、インターネット６０を介して取得し、各オフィス機器１０のトラブル対応等、各オフィス機器１０の管理に使用する。また、リモートセンタ７０は、取得した各オフィス機器１０に関する情報を用いて、消耗品等のサプライ供給サービスを行う。

また、リモートセンタ７０は、複数機種のオフィス機器１０のセキュリティ管理を行う。セキュリティ管理については後程詳しく説明する。リモートセンタ７０は、遠隔での制御を行なう遠隔制御側に配置される。リモートセンタ７０は、一般にはオフィス機器１０やサービスを提供するベンダが保有するインフラ上に存在する。

本実施形態の複数機種のオフィス機器１０は、複数機種のクライアント機器の一例である。本実施形態のリモートセンタ７０は、複数機種のオフィス機器１０を管理するサーバ機器の一例である。リモートセンタ７０は、社内ネットワーク２０及び社外ネットワーク（たとえばインターネット６０）を介して仲介機器３０に接続された第１のサーバ機器に相当する。

リモートセンタ７０は、判定手段７１及び通知手段７２を有する。リモートセンタ７０は、インターネット６０経由でセキュリティ設定テーブル４４の情報及び機器のセキュリティレベルの設定を取得する。判定手段７１は、セキュリティ設定テーブル４４に保持されているセキュリティレベルの設定値と、各オフィス機器１０から通知される実際のセキュリティレベルとを比較し、機器の実際に設定されたセキュリティレベルがセキュリティ設定テーブル４４のセキュリティポリシーに違反しているかどうかを判定する。

通知手段７２は、実際に設定されたセキュリティレベルがセキュリティポリシー違反であると判断された場合、該当オフィス機器１０に対して、違反結果を通知する。または、違反結果をユーザ(例えばオフィスの機器管理者)の管理機器に通知する。通知手段７２がリモートセンタ７０と別体の機器に存在する場合には、違反結果をリモートセンタ７０に通知するが、これについては第２実施形態以降で説明する。

社内ネットワーク２０には、入力制御機器４０が接続されている。入力制御機器４０は、ユーザの社内ネットワーク２０上のセキュリティレベルの入力及び設定を管理する。つまり、ユーザは、入力制御機器４０を用いてユーザの操作に応じて複数機種のオフィス機器１０のセキュリティレベルを入力することができる。入力制御機器４０の一例としては、社内ネットワーク２０に接続されているユーザのＰＣが挙げられる。入力制御機器４０は、入力手段４１、レベル定義テーブル４２、表示制御手段４３、セキュリティ設定テーブル４４及び通信手段４５を有する。

表示制御手段４３は、セキュリティレベルを入力するための入力画面の表示を制御する。表示制御手段４３は、ユーザ(例えばオフィスの機器管理者)が社内ネットワーク２０内のセキュリティポリシーを入力できる入力画面を提供する。この画面はＷＥＢ画面であってもよい。

入力手段４１は、表示制御手段４３により制御される入力画面からユーザの操作に従いオフィス機器１０のセキュリティレベルの入力を受け付ける。ユーザは、入力画面上でインタラクティブに選択する、もしくは一括で選択することで、社内ネットワーク２０に接続されるオフィス機器１０のセキュリティポリシーを設定することができる。

レベル定義テーブル４２は、複数機種について機種ごとに１又は２以上のセキュリティポリシーを定義したテーブルである。セキュリティ設定テーブル４４は、レベル定義テーブル４２で定義されたセキュリティポリシーから、各オフィス機器１０のセキュリティレベルを機能毎に設定したテーブルである。セキュリティ設定テーブル４４に設定されたセキュリティレベルは、ユーザ操作に応じて設定されたセキュリティレベルの設定値であり、社内ネットワーク２０に接続されている個々のオフィス機器１０のあるべきセキュリティレベルの設定値を示している。

通信手段４５は、各種情報をリモートセンタ７０等の機器に送信したり、他の機器からの情報を受信したりする機能を有する。

複数機種のオフィス機器１０は、例えば、ＭＦＰ１０ａ、ＭＦＰ１０ｂ、プリンタ１０ｃ、プロジェクタ１０ｄ及びＴＶ会議システム１０ｅを有する。複数機種のオフィス機器１０には、２つ以上の異なる機種の機器が含まれる。複数機種のオフィス機器１０には、同一機種の機器が含まれてもよい。以下では、ＭＦＰ１０ａを機器Ａ、ＭＦＰ１０ｂを機器Ｂ、プリンタ１０ｃを機器Ｃ、プロジェクタ１０ｄを機器Ｄ、ＴＶ会議システム１０ｅを機器Ｅとして区別する。

ＭＦＰ１０ａ及びＭＦＰ１０ｂは、複合機であり、オフィス機器１０の一例である。ＭＦＰ１０ａ及びＭＦＰ１０ｂは、セキュリティレベルの設定値を、定期的に、もしくはセキュリティレベルの設定変更時に、仲介機器３０に通知する。

プリンタ１０ｃは、オフィス機器１０の一例である。プリンタ１０ｃは、セキュリティレベルの設定値を、定期的に、もしくはセキュリティレベルの設定変更時に、仲介機器３０に通知する。

プロジェクタ１０ｄは、オフィス機器１０の一例である。プロジェクタ１０ｄは、セキュリティレベルの設定値を、定期的に、もしくはセキュリティレベルの設定変更時に、仲介機器３０に通知する。

ＴＶ会議システム１０ｅは、オフィス機器１０の一例である。ＴＶ会議システム１０ｅは、セキュリティレベルの設定値を、定期的に、もしくはセキュリティレベルの設定変更時に、仲介機器３０に通知する。

図１のＭＦＰ機器１０ａには、複数機種のオフィス機器１０がもつ機能の一例を示す。他のオフィス機器１０の機能の図示は省略する。以下では、オフィス機器１０がもつ機能の一例として、ＭＦＰ機器１０ａの機能を例に挙げて説明するが、オフィス機器１０が有する機能はこれに限らない。

ＭＦＰ機器１０ａは、制御手段１１、蓄積手段１２及び通信手段１３を有している。制御手段１１は、ＭＦＰ機器１０ａの全体を制御する。蓄積手段１２は、ＭＦＰ機器１０ａにより実行された情報のやり取りを記録したアクセスログ（履歴情報）を蓄積する。通信手段１３は、アクセスログ要求に応じて、アクセスログをリモートセンタ７０に送信する。

本実施形態のセキュリティ管理システム１では、ユーザは、入力制御機器４０（ユーザのＰＣ）を用いて複数機種のオフィス機器１０のセキュリティレベルを入力する。しかし、本実施形態のセキュリティ管理システム１の構成はこれに限られない。例えば、システム内に入力制御機器４０を別途設けることなく（又は入力制御機器４０に加えて）、オフィス機器１０に入力制御機器４０の機能を内蔵するようにしてもよい。図１に示したように、入力制御機器４０の機能を「入力制御手段」としてＭＦＰ１０ａ内に内蔵してもよい。これにより、ユーザは、ＭＦＰ１０ａを用いてＭＦＰ１０ａのセキュリティレベルを入力することができる。

以上に説明した本実施形態に係るセキュリティ管理システム１において、仲介機器３０は、例えば、インターネット６０の環境（遠隔機能提供側）と、社内ネットワーク２０の環境（ユーザ環境Ａ）とを接続する機能を有するプロキシサーバであってもよい。本実施形態では、ユーザ環境Ａは判定手段及び通知手段を有さず、リモートセンタ７０が判定手段及び通知手段を有するオフィス環境の例である。

［レベル定義テーブル］
次に、本実施形態のレベル定義テーブル４２について、図２を参照しながら説明する。図２は、レベル定義テーブル４２の一例を示す。本実施形態のレベル定義テーブル４２では、複数機種について機種毎にセキュリティポリシーを定義する。セキュリティポリシーとは、機種毎に設定可能な１又は２以上のセキュリティに関する設定値（セキュリティレベル）が定義されたものである。社内ネットワーク２０に接続されるオフィス機器１０において、ユーザは、定義された１又は２以上のセキュリティレベルからいずれかのセキュリティレベルを選択する。選択されたセキュリティレベルは、セキュリティ設定テーブル４４に設定される。ユーザは、各機種について個別にセキュリティレベルを設定することができる。

図２（ａ）はＭＦＰ／プリンタ、図２（ｂ）はプロジェクタ、図２（ｃ）はＴＶ会議システムについてのセキュリティポリシーが定義されている。例えば、図２（ａ）のＭＦＰ／プリンタでは、ユーザ認証４２ｂ、ＨＤＤの自動消去４２ｃ、ネットワークの暗号化強度４２ｄの各機能について個別にセキュリティレベル４２ａが定義されている。定義されたセキュリティレベル４２ａによって、ＭＦＰ／プリンタを使用する際に所望のセキュリティレベルが保持される。

なお、ユーザ認証は、例えばＭＦＰを使用しようとする者が、ＭＦＰを使用可能なユーザとして登録されているかを認証する機能である。ＨＤＤの自動消去は、ＨＤＤに記憶された情報を自動的に消去する機能である。ネットワークの暗号化強度は、ネットワーク上のデータが特定の暗号化強度を有しているかを判定する機能である。

図２（ｂ）のプロジェクタでは、ユーザ認証４２ｂ、ネットワークの暗号化強度４２ｄの各機能について個別にセキュリティレベル４２ａが定義されている。プロジェクタにＨＤＤの自動消去４２ｃの機能はないため、ＨＤＤの自動消去４２ｃのセキュリティレベル４２ａは定義されていない。図２（ｃ）はＴＶ会議システムでは、ユーザ認証４２ｂのみセキュリティレベル４２ａが定義されている。

レベル定義テーブル４２には、図２に示したユーザ認証４２ｂ、ＨＤＤの自動消去４２ｃ、ネットワークの暗号化強度４２ｄの他、ネットワークプロトコルの有効又は無効、ネットワークポートの開閉、文書送信時の宛先利用制限等の機能について定義されてもよい。これらの機能により、各ポートやネットワークプロトコルの有効又は無効、文書を送信できる範囲を設定することができる。

他のオフィス機器１０では、別のセキュリティに関する設定値が存在する。これらのセキュリティレベルを定義して、オフィス機器１０間のレベルを合わせたものが、図２のレベル定義テーブル４２の表になる。

複数機種のオフィス機器１０がネットワークに接続されている環境では、各オフィス機器１０のポリシーレベルを合わせないと、ネットワークに接続された最も弱いセキュリティレベルのオフィス機器１０にシステム全体のセキュリティレベルが下がってしまう。よって、社内ネットワーク２０では、接続されるオフィス機器１０のセキュリティポリシーが統一されて設定、運用される必要があるため、このようなレベル定義をしている。例えば、ＭＦＰ／プリンタのレベル１とプロジェクタのレベル１は、同一レベルになるように、各機器のセキュリティポリシーが定義されている。

ユーザは、個別にオフィス機器１０のセキュリティレベルを設定するよりも、一括で設定及び管理したい、という要望がある。そのため、セキュリティポリシーについても簡易に設定するための仕組みを提供することが好ましい。

そこで、図３の表のように、オフィス機器１０の種別（機種）に応じて、各セキュリティ設定のレベルをマッピングし、セキュリティポリシーとして定義したリストをレベル定義テーブル４２として保持してもよい。ここでは、ポリシー番号４２ｅがポリシー１からポリシー４までの例を挙げているが、もちろん組み合わせはこの限りではない。各ポリシー番号４２ｅに対して、複数機種の機種４２ｆ毎にユーザ認証４２ｂ、ＨＤＤ自動消去４２ｃ、暗号化強度４２ｄのセキュリティレベル４２ａ１〜４２ａ４が定義されている。

例えば、ポリシー１をユーザが選択した場合は、ＭＦＰのユーザ認証はレベル３（ＩＣカード認証）、ＨＤＤ自動消去はレベル３（あり（逐次消去））、暗号化強度はレベル３（２０４８ｂｉｔ暗号化）となる。プリンタはＭＦＰと同機種であるため、ＭＦＰと同じレベルとなる。同様にプロジェクタのユーザ認証はレベル２（パスワードによる認証）、暗号化強度はレベル３（２０４８ｂｉｔ暗号化）となる。プロジェクタのユーザ認証はレベル１（なし）となる。

以上に示したセキュリティポリシーの定義は、リモートセンタ７０側で行われてもよいし、ユーザ環境側で行われてもよい。

［セキュリティレベルの入力］
本実施形態に係るセキュリティ管理システム１では、ユーザＰＣ等の入力制御機器４０を用いて対話型でセキュリティポリシーを入力及び設定することができる。その入力画面を図４に示す。以下の画面表示は、表示制御手段４３により制御される。入力画面は、機種毎又は機種の機能毎に入力可能なセキュリティレベルを定義したレベル定義テーブルに対応するセキュリティレベルを入力するための画面（第１の入力画面の一例）である。

図４の左上に示したＭＦＰセキュリティ設定画面４３ａ１では、ユーザ認証、ＨＤＤ自動消去、暗号化強度が、レベル３からレベル１まで選択可能に表示されている。ユーザは、画面上の領域Ｂ１に示されたレベルボタンのいずれかをクリック又はタッチ等する。これにより、簡単にＭＦＰのユーザ認証のセキュリティレベル、ＨＤＤ自動消去のセキュリティレベル、暗号化強度のセキュリティレベルを入力することができる。

同様に、プリンタセキュリティ設定画面１４３ａ２、プロジェクタセキュリティ設定画面４３ａ３、ＴＶ会議システムセキュリティ設定画面４３ａ４でも同様にセキュリティレベルを画面上の領域Ｂ２、Ｂ３，Ｂ４から入力することができる。画面には必要な設定項目だけ表示される。例えばプロジェクタではＨＤＤ自動消去が無く、ＴＶ会議システムではユーザ認証のレベル２、レベル１のみになる。

ユーザは簡易にセキュリティポリシーを設定したい。そのため、本実施形態に係るセキュリティ管理システム１では、図５のようにポリシー選択画面（第２の入力画面の一例）をユーザに提供することで、予め定義されているポリシー（セキュリティレベルの組合せ）からいずれかのポリシーを選択することができる。ユーザは、図５の画面上の領域Ｂ５からポリシー１〜ポリシー４のいずれかを選択する。例えば、ユーザがポリシー１を選択すると、図３のレベル定義テーブル４２の選択されたポリシー１に定義されているセキュリティレベル４２ａ１が一括して入力されたことになる。なお、図５の画面上の領域Ｂ５から個別設定を選択すると、例えば図４の入力画面（第１の入力画面）に画面遷移する。ユーザは、これによりセキュリティレベルを機能毎に入力することができる。

［セキュリティ設定テーブル］
次に、セキュリティ設定テーブル４４について説明する。図６は、本実施形態に係るセキュリティ設定テーブル４４の一例を示す。セキュリティ設定テーブル４４は、オフィス機器のセキュリティレベルを定義したレベル定義テーブル４２に基づき、各オフィス機器１０の機能毎にセキュリティレベルを設定したテーブルである。

図６では、具体的に、社内ネットワーク２０に接続されている機器（図４の例では機器Ａ〜機器Ｅ)のセキュリティレベルが、セキュリティ設定テーブル４４に設定されている。図１に示した同じ種別のＭＦＰ（機器Ａと機器Ｂ）は、同じセキュリティレベルの設定になっている必要がある。

また、ユーザは簡易にセキュリティレベルを設定変更することができる。例えば、図３で定義したポリシー１〜ポリシー４のいずれかを選択することで、その定義に合致したセキュリティ設定テーブル４４が定められる。

図６（ａ）は、図４の第１の入力画面から各機種の機能毎に入力されたセキュリティレベルが、セキュリティ設定テーブル４４に設定されている場合の一例である。図６（ｂ）及び図６（ｃ）は、図５の第２の入力画面からポリシー１およびポリシー２を選択した場合のセキュリィ設定テーブル４４を図示したものである。

［セキュリティ管理処理］
次に、本実施形態に係るセキュリティ管理システム１の動作について、図７を参照しながら説明する。図７は、第１実施形態に係るセキュリティ管理処理を示したフローチャートである。本実施形態に係るセキュリティ管理システム１では、機器Ａ、機器Ｂ、機器Ｃと仲介機器３０とが社内ネットワーク２０を介して接続され、仲介機器３０とリモートセンタ７０とがインターネット６０を介して接続されている。なお、管理機器は、ユーザ（管理者）がシステム管理に使用する情報端末である。

リモートセンタ７０は仲介機器３０にしかアクセスできない。よって、機器Ａ、機器Ｂ、機器Ｃは、社内ネットワーク２０を介して自身が持っているセキュリティレベルを仲介機器３０に定時通知（例えば毎日の決まった時間）、又は機器のセキュリティレベルの設定が変更されたときに即時通知する（Ｓ１，Ｓ４，Ｓ７）。仲介機器３０は、通知された機器Ａ、機器Ｂ、機器Ｃのセキュリティレベル７７を、インターネット６０を介してリモートセンタ７０に通知する（Ｓ２，Ｓ５，Ｓ８）。通常、仲介機器３０は、機器Ａ，Ｂ，Ｃから通知されたセキュリティレベルの情報を収集し、収集された情報を一回の送信でリモートセンタ７０に送信する。これにより、通信トラフィックの負荷を減らすことができる。機器Ａ、機器Ｂ、機器Ｃから通知される情報には、セキュリティレベル７７の他、少なくとも各機器の機種を識別するための機種識別情報が含まれる。機器Ａ、機器Ｂ、機器Ｃから通知される情報には、各機器を識別するための機器識別情報が含まれても良い。ＮＧ判定となった機器にその旨を通知する場合に機種識別情報が使用され得る。

リモートセンタ７０は、セキュリティ設定テーブル４４のセキュリティレベルの設定値と、機器Ａ、機器Ｂ、機器Ｃからの通知によって得られた実際のセキュリティレベルの値とを比較し、違反があるかどうかを判定する。

例えば、図８（ａ）、図８（ｂ）及び図８（ｃ）の左側の表は図６（ａ）、図６（ｂ）及び図６（ｃ）に示したセキュリティ設定テーブル４４、右側の表は各機器Ａ，Ｂ，Ｃ，Ｄ，Ｅから実際に通知された各機器のセキュリティレベル７７を示す。

判定手段７１は、セキュリティ設定テーブル４４に設定されたユーザの設定したセキュリティレベルと、機器から通知された実際に設定されているセキュリティレベル７７とを比較する。判定手段７１は、通知された各機器のセキュリティレベル７７がセキュリティ設定テーブル４４に設定されたセキュリティレベルと等しいかを判定する。ここでは、図８（ａ）に示すように、機器Ｃのプリンタにおいて、セキュリティ設定テーブル４４に設定されたＨＤＤ自動消去のセキュリティレベルがレベル２であるのに対し、機器Ｃから通知されたセキュリティレベルはレベル１である。よって、図７において、判定手段７１は、機器Ｃのセキュリティレベルの設定値が違反していると判定する（Ｓ９）。なお、機器Ａ，Ｂについては、セキュリティ設定テーブル４４に設定されたセキュリティレベルと、通知されたセキュリティレベル７７はすべて一致している。よって、判定手段７１は、機器Ａ、Ｂでのセキュリティレベルの設定値に違反はないと判定する（Ｓ３、Ｓ６）。

図７の判定がＯＫの場合（Ｓ３，Ｓ６）、本処理は終了する。一方、判定がＮＧの場合（Ｓ９）、リモートセンタ７０は、違反があった旨を、その内容とともに仲介機器３０に通知する（Ｓ１０）。

ＮＧの通知を受け取った仲介機器３０は、違反のあった機器Ｃに対して違反があった旨を、その内容とともに通知する（Ｓ１１）。機器Ｃはその内容を受け、機器Ｃの操作部やバナー等に、その旨を表示する。例えば、機器Ｃは、操作部に違反を文字表示したり、操作部近傍のアラームを点滅させたりする。これにより、ユーザに設定変更を促す。

または、ＮＧの通知を受け取った仲介機器３０は、Ｓ１１の機器Ｃへの通知に替えて、セキュリティレベルの設定に違反があることを警告するための電子メールを管理機器に送信してもよい（Ｓ１２）。これにより、管理機器のユーザは違反を即座に知ることができる。管理者は、違反の通知に応じて違反に対する処理を適宜行う。例えば、管理者は、この通知を受けると、オペレーションパネルで該当セキュリティレベルを正しい値に設定変更する等の処理を行う（Ｓ１３）。

以上に説明したように、本実施形態に係るセキュリティ管理システム１によれば、オフィスのネットワークに接続される多様なオフィス機器に対してのセキュリティレベルを、ユーザが入力、設定できる仕組みを提供する。また、本実施形態に係るセキュリティ管理システム１は、セキュリティポリシーと各機器のセキュリティレベルの結び付けを記憶する。セキュリティ管理システム１は、ユーザから入力された各オフィス機器のセキュリティ設定がセキュリティポリシーに違反しているかどうかを、その結び付けを参照することで判定する。これにより、ユーザがセキュリティレベルやポリシーを簡易に入力でき、入力されたセキュリティポリシーがセキュリティポリシーに違反しているオフィス機器を自動的に判定することができる。

［第１実施形態の変形例１］
次に、第１実施形態の変形例１に係るセキュリティ管理システム１の動作について、図９を参照しながら説明する。図９は、第１実施形態の変形例１に係るセキュリティ管理処理を示したフローチャートである。本変形例では機器Ｃのみ示し、図７で示した機器Ａ、Ｂの動作は省略する。また、図９に示したＳ７、Ｓ８、Ｓ９、Ｓ１０の動作は、図７に示したＳ７、Ｓ８、Ｓ９、Ｓ１０の動作と同じであるため、ここでは説明を省略する。

第１実施形態の変形例１では、図９に示したように、管理者（ユーザ）は、セキュリティレベルの設定に違反があった旨を電子メール通知（Ｓ１２）によって知ることができる。管理者は、違反のあった機器の設定を変更するとともに（Ｓ１３）、仲介機器３０にアクセスログの取得要求を出すこともできる（Ｓ１４）。アクセスログの取得要求（Ｓ１４）を受け取った仲介機器３０は、アクセスログの要求を違反のあった機器Ｃに通知する（Ｓ１５）。機器Ｃは、セキュリティレベルの設定のアクセスログを仲介機器３０に送付し（Ｓ１６）、仲介機器３０はアクセスログを管理機器に送信する（Ｓ１７）。

［第１実施形態の変形例２］
次に、第１実施形態の変形例２に係るセキュリティ管理システム１の動作について、図１０を参照しながら説明する。図１０は、第１実施形態の変形例２に係るセキュリティ管理処理を示したフローチャートである。本変形例では機器Ｃのみ示し、図７で示した機器Ａ、Ｂの動作は省略する。また、図１０に示したＳ７、Ｓ８、Ｓ９、Ｓ１０の動作は、図７に示したＳ７、Ｓ８、Ｓ９、Ｓ１０の動作と同じであるため、ここでは説明を省略する。

第１実施形態の変形例２では、図１０に示したように、ＮＧ通知を受けた仲介機器３０は、その電子メール通知を管理者に出す前に、違反のあった機器Ｃにアクセス要求を送信し（Ｓ１５）、機器Ｃからアクセスログを取得する（Ｓ１６）。仲介機器３０は、その後、違反を示した電子メール通知をアクセスログを添付して管理機器に送る（Ｓ１８）。管理者は、違反のあった機器の設定を変更する（Ｓ１９）。

管理者は、何故セキュリティレベルの設定が変更されたのか、誰がどのタイミングで変更したのかを知りたい。これに応じて、第１実施形態の変形例１，２によれば、違反のあった機器自身が保存しているアクセスログを管理者に送ることができる。
＜第２実施形態＞
第１実施形態に係るセキュリティ管理システム１では、判定手段及び通知手段をリモートセンタ７０が有するオフィス環境の一例を示した。これに対して、図１１に示した第２実施形態に係るセキュリティ管理システム１では、判定手段及び通知手段をユーザ環境Ｂに存在する仲介機器３０が有するオフィス環境の一例を示す。

つまり、第２実施形態に係るセキュリティ管理システム１では、仲介機器３０が、判定手段３３及び通知手段３４を有し、仲介機器３０の判定手段３３によってセキュリティ違反か否かを判定する。よって、本実施形態のセキュリティ管理システム１では、セキュリティに関する情報をインターネット６０を介してリモートセンタ７０に送信する必要がない。なお、第２実施形態に係る仲介機器３０は、サーバ機器の一例として機能する。

［セキュリティ管理処理］
次に、本実施形態に係るセキュリティ管理システム１の動作について、図１２を参照しながら説明する。図１２は、第２実施形態に係るセキュリティ管理処理を示したフローチャートである。機器Ａ、機器Ｂ、機器Ｃは、社内ネットワーク２０を介して自身が持っているセキュリティレベルを仲介機器３０に定時通知又は即時通知する（Ｓ２１，Ｓ２３，Ｓ２５）。仲介機器３０の判定手段３３は、セキュリティ設定テーブル４４のセキュリティレベルの値と、機器Ａ、機器Ｂ、機器Ｃからの通知によって得られた実機器でのセキュリティレベルの設定値とを比較し、違反があるかどうかを判定する（Ｓ２２，Ｓ２４，Ｓ２６）。

判定手段３３は、通知された各機器のセキュリティレベル７７がセキュリティ設定テーブル４４に設定されたセキュリティレベルと等しいかを判定する。ここでは、判定手段３３は、機器Ｃでのセキュリティレベルの設定値が違反していると判定し、機器Ａ，Ｂについては違反はないと判定する。

判定がＯＫの場合（Ｓ２２，Ｓ２４）、本処理は終了する。一方、判定がＮＧの場合（Ｓ２６）、仲介機器３０の通知手段３４は、違反があった旨を、その内容とともにリモートセンタ７０に通知する（Ｓ２７）。リモートセンタ７０で収集された違反の履歴は、後日ユーザへのレポートとして提出するというサービスに利用される等が考えられる。なお、仲介機器３０は、ＮＧ通知をリモートセンタ７０にしてもよいし、しなくてもよい。

仲介機器３０は、違反のあった機器Ｃに対して違反があった旨を、その内容とともに通知する（Ｓ２８）。または、仲介機器３０は、セキュリティレベルの設定に違反があることを警告するための電子メールを管理機器に送信してもよい（Ｓ２９）。これにより、例えば、管理者は、この通知を受けると、オペレーションパネルで該当セキュリティレベルを正しい値に設定変更する等の処理を行う（Ｓ３０）。

以上、本実施形態に係るシステムによっても、社内ネットワーク２０を介して接続された複数機種のオフィス機器のセキュリティレベルの入力を、該当機種のセキュリティレベルとして設定することが違反かを判定することができる。また、本実施形態のセキュリティ管理システム１では、仲介機器３０が違反かどうかの判定を行うため、セキュリティに関する情報を、インターネット６０を介してリモートセンタ７０に送信する必要がない。よって、セキュリティに関する情報を社外に出したくないユーザにとって利用価値の高いシステムである。
＜第３実施形態＞
第１実施形態に係るセキュリティ管理システム１では、仲介機器３０を介してリモートセンタ７０と接続されるオフィス環境の一例を示した。これに対して、図１３に示した第３実施形態に係るセキュリティ管理システム１では、ユーザ環境Ａに仲介機器３０は存在せず、オフィス機器１０が直接、リモートセンタ７０と接続されるオフィス環境の一例を示す。

この場合、オフィス機器１０は直接、リモートセンタ７０と通信を行う。本実施形態のリモートセンタ７０は、社内ネットワーク２０及び社外ネットワーク（例えばインターネット６０）を介して複数機種のオフィス機器１０に直接接続された第２のサーバ機器に相当する。本実施形態のリモートセンタ７０は、サーバ機器の一例である。

［セキュリティ管理処理］
次に、本実施形態に係るセキュリティ管理システム１の動作について、図１４を参照しながら説明する。図１４は、第３実施形態に係るセキュリティ管理処理を示したフローチャートである。機器Ａ、機器Ｂ、機器Ｃは、自身が持っているセキュリティレベルをリモートセンタ７０に定時通知又は即時通知する（Ｓ３１，Ｓ３３，Ｓ３５）。リモートセンタ７０の判定手段７１は、セキュリティ設定テーブル４４のセキュリティレベルの値と、機器Ａ、機器Ｂ、機器Ｃからの通知によって得られた実機器でのセキュリティレベルの設定値とを比較し、違反があるかどうかを判定する（Ｓ３２，Ｓ３４，Ｓ３６）。

判定手段７１は、通知された各機器のセキュリティレベル７７がセキュリティ設定テーブル４４に設定されたセキュリティレベルと等しいかを判定する。ここでは、判定手段７１は、機器Ｃでのセキュリティレベルの設定値が違反していると判定し、機器Ａ，Ｂについては、違反はないと判定する。

判定がＯＫの場合（Ｓ３２，Ｓ３４）、本処理は終了する。一方、判定がＮＧの場合（Ｓ３６）、通知手段７２は、違反のあった機器Ｃに対して違反があった旨を、その内容とともに通知する（Ｓ３７）。または、通知手段７２は、セキュリティレベルの設定に違反があることを警告するための電子メールを管理機器に送信してもよい（Ｓ３８）。例えば、管理者は、この通知を受けると、オペレーションパネルで該当セキュリティレベルを正しい値に設定変更する等の処理を行う（Ｓ３９）。

以上に説明したように、本実施形態に係るシステムによっても、社内ネットワーク２０を介して接続された複数機種のオフィス機器１０のセキュリティレベルの入力を、該当機種のセキュリティレベルとして設定することが違反かを判定することができる。

［第３実施形態の変形例１］
次に、第３実施形態の変形例１に係るセキュリティ管理システム１の動作について、図１５を参照しながら説明する。図１５は、第３実施形態の変形例１に係るセキュリティ管理処理を示したフローチャートである。本変形例では機器Ｃのみ示し、機器Ａ、Ｂの動作は省略する。また、図１５に示したＳ３５、Ｓ３６は前述した動作と同じであるため、ここでは説明を省略する。

第３実施形態の変形例１では、図１５に示したように、管理者は、セキュリティレベルの設定に違反があった旨をＮＧ電子メール通知（Ｓ３８）によって知ることができる。管理者は、違反のあった機器のセキュリティレベルの設定を変更するとともに（Ｓ３９）、リモートセンタ７０にアクセスログの取得要求を出す（Ｓ４０）。アクセスログの取得要求（Ｓ４０）を受け取ったリモートセンタ７０は、アクセスログの要求を違反のあった機器Ｃに通知する（Ｓ４１）。機器Ｃは、セキュリティレベルの設定のアクセスログをリモートセンタ７０に送付し（Ｓ４２）、リモートセンタ７０はアクセスログを管理機器に送信する（Ｓ４３）。

以上に説明したように、上記各実施形態に係るシステムによれば、社内ネットワーク２０を介して接続された複数機種のオフィス機器１０のセキュリティレベルの入力を、該当機種のセキュリティレベルとして設定することが違反かを判定することができる。

最後に、セキュリティレベルの入力制限について説明する。図１６は、各実施形態で使用したレベル定義テーブル４２において入力制限領域を示した一例である。ここでは、図１６（ａ）、図１６（ｂ）及び図１６（ｃ）のレベル定義テーブル４２において、「セキュリティレベル１」に入力制限があるものとする。

これに応じて、各実施形態に係る第１の入力画面にも入力制限を設けることができる。図１７では、各実施形態に係る第１の入力画面の入力制限を図示している。このように各設定画面において、入力可能領域Ｂ１１，Ｂ２１、Ｂ３１，Ｂ４１と入力制限領域（入力不可領域）Ｂ１２，Ｂ２２、Ｂ３２，Ｂ４２を区別して表示する。例えば、入力できないセキュリティレベルのボタンを網掛けで表示したり、グレーで表示したり、色分けしてもよい。このように入力が制限されるセキュリティレベルが目視で認識可能なように画面に表示することで、ユーザのセキュリティレベルの入力ミスを減らすことができる。

なお、セキュリティレベルの入力制限は、リモートセンタ７０からのポリシー入力（指示）に従い、各オフィス機器１０に入力制限対象を指示できる。

以上、添付図面を参照しながら本発明のセキュリティ管理システム、入力制御機器及びセキュリティ管理方法の好適な実施形態について詳細に説明したが、本発明の技術的範囲はかかる例に限定されない。本発明の技術分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明のセキュリティ管理システム、入力制御機器及びセキュリティ管理方法の技術的範囲に属する。また、上記実施形態及び変形例は、矛盾しない範囲で組み合わせることができる。

本発明に係るオフィス機器、仲介機器、リモートセンタには、図示しないＣＰＵが内蔵されている。ＣＰＵにより実行される各機能を実現するためのプログラムは、図示しないコンピュータに備えられた図示しないＲＯＭあるいはＨＤＤ等の記憶手段に予め格納されてもよい。前記プログラムは、記録媒体であるＣＤ−ＲＯＭあるいはフレキシブルディスク，ＳＲＡＭ，ＥＥＰＲＯＭ，メモリカード等の不揮発性記録媒体（メモリ）に記録されてもよい。本発明に係るオフィス機器、仲介機器、リモートセンタの機能は、これらのメモリに記録されたプログラムをＣＰＵに実行させることにより実現され得る。さらに、前記プログラムは、ネットワークに接続され、プログラムを記録した記録媒体を備える外部機器あるいはプログラムを記憶手段に記憶した外部機器からダウンロードすることもできる。

なお、上記実施形態及び変形例のシステム構成は一例であり、用途や目的に応じて様々なシステム構成例があることは言うまでもない。

１：セキュリティ管理システム、１０：オフィス機器、１０ａ、１０ｂ：ＭＦＰ、１０ｃ：プリンタ、１０ｄ：プロジェクタ、１０ｅ：ＴＶ会議システム、１１：制御手段、１２：蓄積手段、１３：通信手段、２０：社内ネットワーク、３０：仲介機器、４０：入力制御機器、４１：入力手段、４２：レベル定義テーブル、４３：表示制御手段、４４：セキュリティ設定テーブル、４５：通信手段、６０：インターネット、７０：リモートセンタ、３３、７１：判定手段、３４、７２：通知手段

特開２００８−３０４９６８号公報

Claims (18)

1. ネットワークを介して接続された複数機種のクライアント機器のセキュリティ管理システムであって、
   前記複数機種のクライアント機器の少なくともいずれかのクライアント機器の複数の機能の少なくともいずれかの機能について、機能毎にセキュリティレベルを入力する入力手段を含む入力制御機器と、
   機種毎に複数の機能について機能毎に設定されたセキュリティレベルを保持するセキュリティ設定テーブルに基づき、入力された前記少なくともいずれかの機能のセキュリティレベルを、前記複数機種のクライアント機器から通知された機種識別情報から識別される機種の、対応する機能のセキュリティレベルとして設定することが違反か否かを判定する判定手段と、を有することを特徴とするセキュリティ管理システム。
2. 前記入力手段は、機種毎に機能毎のセキュリティレベルを定義したレベル定義テーブルに対応する第１の入力画面から各機種の機能毎のセキュリティレベルを入力するか、又は前記レベル定義テーブルにより機能毎に定義されたセキュリティレベルの複数の組合せに対応する第２の入力画面から機能毎のセキュリティレベルの一の組合せを選択することを特徴とする請求項１に記載のセキュリティ管理システム。
3. 前記判定手段は、前記セキュリティ設定テーブルに保存された、前記機種識別情報から識別される機種の機能毎のセキュリティレベルと、前記入力された機能毎のセキュリティレベルとが少なくともいずれかの機能において一致しない場合、該入力されたセキュリティレベルが違反であると判定することを特徴とする請求項１または２に記載のセキュリティ管理システム。
4. 前記判定手段は、前記セキュリティ設定テーブルに保存された、前記機種識別情報から識別される機種の機能毎のセキュリティレベルより、前記入力された機能毎のセキュリティレベルが少なくともいずれかの機能において低い場合、該入力されたセキュリティレベルが違反であると判定することを特徴とする請求項１または２に記載のセキュリティ管理システム。
5. 前記判定手段による判定結果を、前記セキュリティレベルが入力された対象のクライアント機器又は管理機器に通知する通知手段を更に有することを特徴とする請求項１〜４のいずれか一項に記載のセキュリティ管理システム。
6. 前記通知手段は、電子メールにより前記判定結果を前記管理機器に通知することを特徴とする請求項５に記載のセキュリティ管理システム。
7. 前記複数機種のクライアント機器は、アクセスログを蓄積する蓄積手段を更に有し、
   前記通知手段は、前記判定結果と前記複数機種のクライアント機器から取得した前記アクセスログとを前記管理機器に通知することを特徴とする請求項５又は６に記載のセキュリティ管理システム。
8. 前記入力制御機器は、機能毎のセキュリティレベルを入力するための画面の表示を制御する表示制御手段を更に有し、
   前記入力手段は、前記表示制御手段により表示を制御される画面からユーザの操作に従い、前記少なくともいずれかのクライアント機器の少なくともいずれかの機能について、機能毎にセキュリティレベルを入力することを特徴とする請求項１〜７のいずれか一項に記載のセキュリティ管理システム。
9. 前記入力手段は、機種毎に機能毎のセキュリティレベルを定義したレベル定義テーブルに定義された機能毎のセキュリティレベルのうち、入力が制限される機能のセキュリティレベルの入力を受け付けないことを特徴とする請求項８に記載のセキュリティ管理システム。
10. 前記表示制御手段は、前記入力が制限される機能のセキュリティレベルが目視で認識可能なように画面の表示を制御することを特徴とする請求項９に記載のセキュリティ管理システム。
11. 前記複数機種のクライアント機器は、
    前記入力された機種識別情報と機能毎のセキュリティレベルとを、ネットワークに接続されたサーバ機器に送信し、該サーバ機器の前記判定手段による判定結果を前記サーバ機器から受信する通信手段を有することを特徴とする請求項１〜１０のいずれか一項に記載のセキュリティ管理システム。
12. 前記サーバ機器は、社内ネットワークを介して前記複数機種のクライアント機器に接続された仲介機器、社外ネットワークを介して前記仲介機器に接続された第１のサーバ機器、又は社内ネットワーク及び社外ネットワークを介して前記複数機種のクライアント機器に直接接続された第２のサーバ機器のいずれかであることを特徴とする請求項１１に記載のセキュリティ管理システム。
13. ネットワークを介して接続された複数機種のクライアント機器のセキュリティ管理システムにおいて、前記複数機種のクライアント機器の少なくともいずれかのクライアント機器の機能毎のセキュリティレベルの入力を制御する入力制御機器であって、
    機能毎のセキュリティレベルを入力するための入力画面の表示を制御する表示制御手段と、
    前記表示制御手段により表示を制御される入力画面からユーザの操作に従い、前記少なくともいずれかのクライアント機器の少なくともいずれかの機能について、機能毎にセキュリティレベルを入力する入力手段と、を有することを特徴とする入力制御機器。
14. 前記表示制御手段は、前記入力画面として、機種毎に機能毎のセキュリティレベルを定義したレベル定義テーブルに対応する第１の入力画面、又は前記レベル定義テーブルにより機能毎に定義されたセキュリティレベルの複数の組合せに対応する第２の入力画面を表示し、
    前記入力手段は、前記第１の入力画面から各機種の機能毎のセキュリティレベルを入力するか、前記第２の入力画面から機能毎のセキュリティレベルの一の組み合わせを選択することを特徴とする請求項１３に記載の入力制御機器。
15. 前記表示制御手段は、入力が制限される機能のセキュリティレベルを前記入力画面に目視可能に表示することを特徴とする請求項１３又は１４に記載の入力制御機器。
16. 前記入力手段は、前記入力が制限される機能のセキュリティレベルの入力を受け付けないことを特徴とする請求項１５に記載の入力制御機器。
17. ネットワークを介して接続された複数機種のクライアント機器のセキュリティ管理方法であって、
    前記複数機種のクライアント機器の少なくともいずれかのクライアント機器の複数の機能の少なくともいずれかの機能について、機能毎にセキュリティレベルを入力する入力ステップと、
    機種毎に複数の機能について機能毎に設定されたセキュリティレベルを保持するセキュリティ設定テーブルに基づき、入力された前記少なくともいずれかの機能のセキュリティレベルを、前記複数機種のクライアント機器から通知された機種識別情報から識別される機種の、対応する機能のセキュリティレベルとして設定することが違反か否かを判定する判定ステップと、
    を有することを特徴とするセキュリティ管理方法。
18. ネットワークを介して接続された複数機種のクライアント機器を管理するためにコンピュータにより実行するためのプログラムであって、
    前記複数機種のクライアント機器の少なくともいずれかのクライアント機器の複数の機能の少なくともいずれかの機能について、機能毎にセキュリティレベルを入力する入力処理と、
    機種毎に複数の機能について機能毎に設定されたセキュリティレベルを保持するセキュリティ設定テーブルに基づき、入力された前記少なくともいずれかの機能のセキュリティレベルを、前記複数機種のクライアント機器から通知された機種識別情報から識別される機種の、対応する機能のセキュリティレベルとして設定することが違反か否かを判定する判定処理と、
    をコンピュータにより実行するためのプログラム。

Images