JP6402577B2 - 情報処理システム、情報処理装置、設定判断方法およびプログラム - Google Patents

Description

本発明は、情報処理システム、情報処理装置、設定判断方法およびプログラムに関し、より詳細には、情報処理装置のセキュリティ設定を判断するための情報処理システム、情報処理装置、設定判断方法およびプログラムに関する。

複合機といった共同で利用される情報処理装置においては、セキュリティおよび利便性の両立が課題である。一般に、セキュリティ強度を上げると利便性が低くなり、利便性を上げると反対にセキュリティ強度が心もとなくなる。例えば、ログイン失敗に応答してロックアウトする技術が知られている。ロックアウトの閾値とする連続失敗回数を小さくしたり、あるいはロックアウト時間を長くしたりすると、利便性が低下してしまう。反対に、閾値の連続失敗回数を大きくしたり、あるいはロックアウト時間を短くしたりすると、攻撃機会が増えることになる。

上述したセキュリティおよび利便性の両立を図るため、一定期間セキュリティ強度を上げた後、管理者の確認に基づいて、または管理者の設定に基づいて、セキュリティ強度を緩和する技術が知られている。

また、特開２００８−１２３２０２号公報（特許文献１）は、機密性を保持しながらもユーザの使い勝手の良い画像形成装置のセキュリティシステムを提供することを目的とした技術を開示する。特許文献１は、セキュリティ設定された蓄積データに設定された時限解除設定期日またはセキュリティ期間が超過し、緩和設定が可に設定されている場合、予め設定されたセキュリティ延長期間毎にセキュリティランクを順次低下させる制御手段を開示する。

上述したような従来技術により、期間に基づいて、セキュリティ強度を緩和することができる。しかしながら、上記従来技術の画像形成装置では、結局その最終判断は判断者に任せているにすぎない。本来は、セキュリティ・インシデントの脅威が無いことを確認してからセキュリティを緩和すべきであり、実際の脅威の存在とは無関係に、期間で一律に緩和したり、そのときの判断者に任せるのはセキュリティ上好ましくない。そうした場合は、本来守らなければならない画像形成装置の資産を非セキュアな環境においてしまうことになる。

その他、特開２００９−０９０４７１号公報（特許文献２）は、接続手段を介して要求受付手段に対して行われる不正行為を検知する不正検知手段と、不正検知手段による検知結果を情報処理装置に通知する通知手段とを備える構成を開示する。

しかしながら、依然として、情報処理装置が利用されている環境で実際に検出された事象に応じて、情報処理装置のセキュリティ設定の最適なレベルを判断し、ひいては、セキュリティおよび利便性の両立を図ることができる技術の開発が望まれていた。

本発明は、上記従来技術における不充分な点に鑑みてなされたものであり、本発明は、情報処理装置が利用されている環境で実際に検出された事象に応じて情報処理装置の該事象に対応するセキュリティ設定の設定レベルを判断することができる、情報処理システム、情報処理装置、設定判断方法およびプログラムを提供することを目的とする。

本発明では、上記課題を解決するために、情報処理装置のセキュリティ設定を判断する、下記特徴を有した情報処理システムを提供する。本情報処理システムは、情報処理装置が含まれる環境で発生する事象を評価する評価手段と、上記評価手段による前記事象の評価結果に基づいて、上記事象に対応した情報処理装置のセキュリティ設定に対する、複数のレベルのうちの設定レベルを判断する判断手段と、上記情報処理装置の上記事象に対応したセキュリティ設定を、上記判断手段により判断された設定レベルに応じたものへと変更する変更手段とを含む。

上記構成により、情報処理装置が利用されている環境で実際に検出された事象に応じて情報処理装置の該事象に対応するセキュリティ設定の設定レベルを判断することができるようになる。

第１の実施形態による複合機の構成を示す機能ブロック図。 第１の実施形態による複合機で実行されるセキュリティ設定判断処理を示すシーケンス図。 第１の実施形態による複合機におけるセキュリティレベル判断部の詳細な構成を示す機能ブロック図。 第１の実施形態による複合機におけるセキュリティレベル判断部が参照するセキュリティカウンタのデータ構造を例示する図。 第１の実施形態による複合機におけるセキュリティレベル判断部が参照する判断テーブルのデータ構造を例示する図。 第１の実施形態による複合機におけるセキュリティレベル判断部が参照する判断テーブルのデータ構造の他の例を示す図。 第１の実施形態による複合機におけるセキュリティレベル判断部が参照する判断テーブルのデータ構造のさらに他の例を示す図。 第１の実施形態による複合機におけるスケジュール管理部が実行する処理を示すフローチャート。 第１の実施形態による複合機におけるセキュリティレベル判断部が実行する処理を示すフローチャート。 第２の実施形態による複合機の構成を示す機能ブロック図。 第３の実施形態による複合機の構成を示す機能ブロック図。 第２および第３の実施形態によるセキュリティ分析装置のハードウェア構成を示す図。 第１〜第３の実施形態による複合機のハードウェア構成を示す図。

以下、本実施形態について説明するが、実施形態は、以下に説明する実施形態に限定されるものではない。

（第１の実施形態）
以下に説明する第１の実施形態では、情報処理システムおよび情報処理装置として、複合機を一例として説明する。

第１の実施形態による複合機は、操作部を介した操作者からの指示に応答して、コピー、スキャナおよびファクシミリなどの画像処理サービスを提供するとともに、利用者からのネットワークを介した要求に応答してプリント、スキャナ、ファクシミリなどの画像処理サービスを提供することができる。複合機においては、このようなサービス提供中、情報管理やシステム運用に関して保安上の脅威となる事象（以下、セキュリティ・インシデントという。）が発生する可能性がある。例えば、辞書攻撃や総当たり攻撃によるパスワードクラックを挙げることができ、そのほか、操作者によるログアウトのし忘れなども含まれる。

このようなセキュリティ・インシデントの発生に対応して、複合機は、種々のセキュリティ機能を提供する場合がある。例えば、上述したパスワードクラックに対しては、所定回数連続でログイン失敗した場合に、ログインを一定時間受け付けないように制御するロックアウト機能が提供されている。また、上述したログアウトのし忘れに対応して、ログイン後、手動でログアウトされないままでも、最後に操作されてから一定時間経過した後自動でログアウトするオートログアウト機能が提供されている。

このようなセキュリティ機能では、一般に、セキュリティ強度を上げると利便性が低くなり、反対に利便性を上げるとセキュリティ強度が心もとなくなる傾向がある。上述したロックアウト機能を一例として説明すると、閾値とする連続失敗回数を小さく設定したり、またはロックアウト時間を長く設定したりすると、正規の利用者も影響を受けるため、利便性が低下してしまう。反対に、連続失敗回数を大きく設定したり、またはロックアウト時間を短く設定したりすると、単位時間当たりの攻撃機会が増えることになる。

このように、上述したセキュリティ機能においては、セキュリティ強度と利便性とはトレードオフの関係があるため、複合機が利用されている環境で発生するインシデントの状況に合わせて適切なレベルで設定することが望ましい。例えば、セキュリティ上の脅威が全く発生していないにも関わらず、高いレベルにセキュリティ強度を維持することは、利便性を犠牲にすることになる。一方で、具体的な脅威が発生したり兆候が表れているにもかかわらず、利便性を優先させて、低いレベルのまま維持することは、セキュリティ上好ましくない。

そこで、説明する実施形態による複合機は、自身が利用されている環境で発生したセキュリティ・インシデントを評価し、自身のセキュリティ設定の適切な設定レベルを判断する構成を採用する。好ましい実施形態では、適切であると判断された設定レベルに自身のセキュリティ設定を動的に変更することができる。自身が利用されている環境での実際の状況に応じて適切な設定レベルを判定し、好ましくは動的に設定を変更することにより、自身が利用されている環境に適合したセキュリティ強度としつつ、不必要な利便性の低下の防止を図っている。

以下、図１〜図９を参照しながら、第１の実施形態による複合機において実現されるセキュリティ設定判断機能ついて説明する。図１は、第１の実施形態による複合機の構成を示す機能ブロック図である。図１には、矢印により各種情報の流れが示されている。

複合機１００は、基本処理部１０２と、スキャナ部１０４と、プリント部１０６と、操作部１０８とを含み構成される。本実施形態による複合機１００は、さらに、インシデント検出部１１０と、セキュリティカウンタ格納部１１２と、セキュリティレベル判断部１１４と、判断テーブル１１６と、スケジュール管理部１１８と、セキュリティ設定変更部１２０とを含み構成される。

スキャナ部１０４は、画像読取ユニットを含み、コピーやスキャナなどの画像処理サービスにおいて画像読取処理を実行する。プリント部１０６は、画像形成ユニットを含み、コピーやプリントなどの画像処理サービスにおいて画像形成処理を実行する。操作部１０８は、操作者が操作するタッチパネルなどを含み、ログイン操作、ジョブ実行指示、ログアウト操作など操作者からの操作入力を受け付けるユーザ・インタフェースを提供する。基本処理部１０２は、スキャナ部１０４、プリント部１０６および操作部１０８などの複合機としての基本的な機能を含んだ全体制御を行う。

なお、図１に示す実施形態では、スキャナ部１０４、プリント部１０６および操作部１０８を備えた複合機１００を例示するが、複合機１００が備える構成は、特に限定されるものではない。例えば、ファクシミリ部など他の機能部を備えた複合機であってもよく、上述した機能部の一部を備えなくてもよく、複合機１００は、特定の用途、製品デザイン等に応じて適切な機能を備えればよい。

インシデント検出部１１０は、複合機１００内でのセキュリティ・インシデントの発生を検出する検出手段である。セキュリティカウンタ格納部１１２は、セキュリティ・インシデントの発生の検知に応答して更新される各セキュリティカウンタを格納する。上述したインシデント検出部１１０は、セキュリティ・インシデントの発生を検知した場合、セキュリティカウンタ格納部１１２に格納された、対応するカウンタをインクリメントして更新する。このインシデントの発生に伴いインクリメントされるセキュリティカウンタは、当該複合機１００が含まれる環境で発生するインシデントを評価する、本実施形態における評価手段を構成する。

例えば、ロックアウト発生をカウントするロックアウト発生カウンタは、ロックアウト発生回数を計数することによって、パスワードクラックのインシデントの評価を行う。また、オートログアウト発生をカウントするオートログアウト発生カウンタは、オートログアウト発生回数を計数することによって、ログアウトし忘れのインシデントの評価を行う。セキュリティカウンタについては、詳細を後述する。

セキュリティレベル判断部１１４は、複合機１００の各セキュリティ設定項目に対する設定レベルを判断する。各セキュリティ設定項目は、各インシデントに対応付けられている。例えば、ロックアウト機能の設定項目（例えばロックアウト設定回数およびロックアウト設定時間を含む。）は、ロックアウト発生カウンタ（つまりパスワードクラック）に対応付けられている。オートログアウト機能の設定項目は、オートログアウト発生カウンタ（つまりログアウトし忘れ）に対応付けられている。セキュリティ設定項目は、それぞれ、複数のレベルを有することができ、セキュリティレベル判断部１１４は、そのうちの１つの適切なレベルを判断する。適切なレベルが割り出されると、セキュリティレベル判断部１１４は、対応するセキュリティ設定項目の設定内容を、判断された設定レベルに変更するよう通知を行う。

ここで、通知は、後述するセキュリティ設定変更部１２０に対し、管理者による操作なしに設定変更を反映するよう要求する通知とすることができる。あるいは、通知は、当該複合機１００に関連付けられる管理者の連絡先に対し、手動で設定変更を行うこと、または、設定変更に対する承認をすることを依頼する通知とすることができる。例えば、複合機１００の設定変更インタフェースを呼び出すＵＲＬ（Uniform Resource Locator）を含む電子メールやインスタントメッセージを管理者のアドレスまたはアカウントに送信する通知を行うことができる。このような通知は、基本処理部１０２のネットワーク・インタフェース機器を介して行うことができる。

判断テーブル１１６は、上記セキュリティレベル判断部１１４により参照される、判断規則を記述したデータである。判断規則は、セキュリティカウンタ格納部１１２が示すセキュリティ・インシデントの現在の発生状況に応じて、適切な各セキュリティ設定項目の設定レベルを判断するために用いられる。判断テーブル１１６については、詳細を後述する。

スケジュール管理部１１８は、上述したセキュリティ設定の判断を行うタイミングをスケジュールしており、そのタイミングが到来したことに応答して、セキュリティレベル判断部１１４に対し判断要求依頼を行う。スケジュールは、例えば、秒、分、時、日、週、月などの時間単位で、固定周期で行うように行われてもよい。あるいは、好適な実施形態では、セキュリティ・インシデントの現在の発生状況に応じて動的に変更することもできる。動的に変更する好適な実施形態では、上述したセキュリティレベル判断部１１４が、上述したセキュリティ設定の判断を行う次のタイミングを決定し、周期変更要求としてスケジュール管理部１１８に伝達される。

セキュリティ設定変更部１２０は、セキュリティ設定を変更するインタフェースを提供する。セキュリティ設定変更部１２０は、セキュリティレベル判断部１１４からの変更要求に応答して、または、管理者からの変更指示に応答して、セキュリティ設定を求められた設定レベルを実現するよう設定内容を変更する。セキュリティ設定変更部１２０は、本実施形態における変更手段を構成する。

以下、上述した各部の働きを、ログイン攻撃のひとつであるパスワードクラックを例にして、図２を参照しながら説明する。図２は、第１の実施形態による複合機１００で実行されるセキュリティ設定判断処理を示すシーケンス図である。

典型的なパスワードクラックは、あるログイン名に対してパスワードをランダムに変更する攻撃を行い、偶然パスワードが一致すればログインできてしまうという攻撃である。この攻撃に対しては、上述したようにログイン失敗が所定回数連続で発生したときに一時的にログイン操作をさせないようにするロックアウト機能がある。

ステップＳ１０１では、インシデント検出部１１０は、上述したログイン失敗が所定回数連続で発生したことを検出し、ロックアウト処理を実施し、ステップＳ１０２で、セキュリティカウンタ格納部１１２内のロックアウト発生カウンタを１つインクリメントして更新する。これにより、複合機１００でのセキュリティ・インシデントの発生状況が評価される。

スケジュール管理部１１８は、ステップＳ２０１で、所定の周期（例えば１週間）が満了したことを検出すると、ステップＳ２０２で、セキュリティレベル判断部１１４に対し、判断要求依頼を行う。ステップＳ２０３では、セキュリティレベル判断部１１４は、判断要求依頼に応答して、セキュリティカウンタ格納部１１２からロックアウト発生カウンタの値を読み出す。

ステップＳ２０４では、セキュリティレベル判断部１１４は、読み出したロックアウト発生カウンタの値と、別途読出した判断テーブル１１６とを比較し、ロックアウト機能の各セキュリティ設定項目について、設定すべき設定レベルを判断する。ステップＳ２０５では、セキュリティレベル判断部１１４は、セキュリティ設定変更部１２０に対し、判断した設定レベルへの変更要求を通知する。ステップＳ２０６では、セキュリティ設定変更部１２０は、変更要求に応答して、セキュリティ設定項目の設定値を要求された値に変更する。ステップＳ２０７では、セキュリティレベル判断部１１４は、ロックアウト発生カウンタをクリアし、処理を終了する。このようなフローが基本的な処理フローとなる。

以下、図３〜図７を参照しながら、上述したセキュリティレベル判断部１１４のより詳細な構成について説明する。図３は、第１の実施形態による複合機１００におけるセキュリティレベル判断部１１４の詳細な構成を示す機能ブロック図である。図３に示すように、セキュリティレベル判断部１１４は、判断部１２４と、変更要求発行部１２６とを含み構成され、さらに、周期変更依頼発行部１２８を含むことができる。

判断部１２４は、セキュリティカウンタ格納部１１２から各セキュリティカウンタの値を読み出し、判断テーブル１１６を参照して、各セキュリティ設定項目に対する設定レベルを判断する、本実施形態における判断手段を構成する。変更要求発行部１２６は、判断部１２４による判断に基づき、複合機１００のセキュリティ設定変更部１２０に対し変更要求を発行する、本実施形態における変更通知手段および変更要求発行手段を構成する。なお、上述したように、管理者に通知する場合は、変更要求発行部１２６に代えて、当該複合機１００に関連付けて登録された管理者の連絡先に対し、変更を依頼する変更依頼手段を設けてもよい。

図４は、第１の実施形態による複合機１００におけるセキュリティレベル判断部１１４が参照するセキュリティカウンタのデータ構造を例示する図である。図４に示すように、セキュリティカウンタ格納部１１２で管理する情報としては、セキュリティ・インシデント項目と、そのインシデントの発生回数とが含まれる。ここで、セキュリティ・インシデント項目は、事前に決定されたものである。発生回数は、所定の評価期間において、そのセキュリティ・インシデントが発生する毎に１つインクリメントされ、セキュリティレベル判断部１１４から判断終了後にクリアされるまでは増大し続ける。

セキュリティ・インシデント項目は、項目別に管理されており、上述したロックアウト発生回数、オートログアウト発生回数のほか、例示としては、ＤｏＳ攻撃の検出回数、地紋印刷での違反検出回数などを挙げることができる。簡便には、それぞれの項目は、独立して管理されており、他のインシデントの影響を受けないものとして、該当するインシデントの発生回数のみを管理すればよい。しかしながら、他の実施形態において、複数のインシデント項目を複合して評価を行うことを妨げるものではない。

図５〜図７は、第１の実施形態による複合機１００におけるセキュリティレベル判断部１１４が参照する判断テーブル１１６のデータ構造を例示する図である。図５および図６は、上記パスワードクラックに対してのロックアウト設定を定めるものである。

図５（Ａ）に示す判断テーブルは、セキュリティレベルを３段階で定義した場合の判断テーブルである。ロックアウト機能のセキュリティ強度は、主としてロックアウト設定回数およびロックアウト設定時間によって決定付けられるが、説明する実施形態では、説明の便宜上、設定回数を固定とし、ロックアウト設定時間のみを変更の対象とするものとする。つまり、ロックアウト機能に関しては、ロックアウト設定時間のみが、３段階で定義されたセキュリティレベルのうちから適切なレベルが判断される。しかしながら、他の実施形態では、設定時間に加えて、または、設定時間に代えて、設定回数について複数のレベルを設けてもよいし、あるいは、設定回数および設定時間の組み合わせに対して、複合的な複数のレベルを設けてもよい。

図５（Ａ）に示す例では、「低」のセキュリティレベルは、パスワードエラーが連続５回に達したならば１分間アクセスを停止するという設定を表す。なお、図５（Ａ）には、補足として、攻撃機会およびパスワード変更ルールが記述されている。

ここで、攻撃機会とは、１時間に何回ログイン試行が実施できるかを示すものである。この値が少なければ少ないほど、攻撃者にとって試行できる機会が減るため、セキュリティ強度が高いということができる。例えば、図５（Ａ）の判断テーブル中、「低」のレベルについては、１分ごとに５回ログイン試行が可能であるため、攻撃機会は、３００回／時（＝５回×６０トライ）と試算することができる。ただし、上記試算では、５回のログインアクション時間自体は、ロックアウト設定時間より充分に短いと仮定しており、計算に考慮していない。同様に、「中」のレベルであれば、６０回／時（＝５回×１２トライ）、「高」のレベルであれば、３０回／時（＝５回×６トライ）となる。

パスワード変更ルールに関しては、攻撃が頻繁な場合はパスワードを短期間に変更する必要があるが、攻撃がさほどない場合は比較的長い期間で充分と言える。特定の実施形態では、レベルに応じて、パスワード変更ルールを変えることで、利用者が必要以上にパスワードを変更しなければならない手間を省くことができる。なお、このような運用は、パスワード変更を促すために管理者へのメール通知によって行うことができる。

図５（Ｂ）に示す判断テーブルは、実際のロックアウト発生回数に対応付けて設定すべき設定レベルを保持するデータである。図５（Ｂ）に示す判断テーブルを参照することにより、どの程度の回数でロックアウトが発生した場合に、いずれのセキュリティレベルとするかを判断することが可能となる。

図５（Ｂ）の例では、１週間を評価期間として、回数の範囲に対応付けて設定レベルが記述されている。例えば、１週間のロックアウト発生回数が４回であった場合は、１〜１４回の範囲内にあるため、セキュリティレベル「中」であると判定される。そして、図５（Ａ）に示すテーブルから、ロックアウト設定時間を「５分」とすべきと判断される。

上述した判断部１２４は、セキュリティ・インシデントの評価結果に基づいて、例外処理を呼び出すか否かを判断することができる。図５（Ｂ）に示す判断テーブルにおける「例外」は、異常なカウンタ値を判断し、例外処理を呼び出すためのものである。図５（Ｂ）の例は、１週間のロックアウト発生回数が１００回以上あった場合は、通常とは異なる異常値と判断し、対応した例外処理を実施することを示す。パスワードクラックを例にとれば、カウンタ値が「１０００」などであれば、明らかに深刻な事態が発生していると考えられる。その場合は、上述した判断部１２４の判断で、自ら電源を落とす、あるいはネットワークログイン処理を停止する、といった機器の利用そのものを停止する例外処理を実施することができる。

また、セキュリティ対策では、リアルタイム性が重要な場合もある。例えば、集中してパスワードクラックが行われた場合、１週間毎のチェックでは充分ではない場合もある。しかしながら、単純に評価期間を短く設定することは、インシデントが殆ど発生していない場合に、リソースやその消費電力の無駄となる。

そこで、好適な実施形態では、判断部１２４は、セキュリティ・インシデントの評価結果（単位期間あたりの発生回数）に基づいて、セキュリティ設定判断を次回開始するタイミングを決定することができる。例えば、セキュリティ・インシデントが全く発生していなければ、タイミングを遅らせることができるし、インシデントが発生していれば、タイミングを早めることができる。図３に示す周期変更依頼発行部１２８は、そのような好適な実施形態で用いられるものであり、スケジュール管理部１１８に対し、決定された周期への周期変更依頼を発行し、次回開始するタイミングを設定させる。その場合、スケジュール管理部１１８は、新たに設定されたタイミングで、セキュリティレベル判断部１１４を呼び出すことになる。

図６は、そのような動的にスケジュールを行う場合の判断テーブルを説明する。図６（Ａ）に示す判断テーブルは、セキュリティレベルを３段階で定義し、それぞれのレベルに対して評価期間を対応付ける。また、図６（Ｂ）に示す判断テーブルは、取り得る評価期間毎に場合分けして、実際のロックアウト発生回数に対応付けて設定すべき設定レベルを保持するデータである。図６（Ｂ）に示す例では、評価期間毎の発生回数に対する範囲は、１週間の評価期間に換算して概ね同じ値となるように設定されている。これにより、略同一の判断基準を採用しながらも、評価期間を変更することが可能となる。

具体的には、例えば、１週間で１回〜１４回までを「中」と判断していたものを７日で割って、１日で１回〜２回までを「中」と判断する。１週間で１５〜９９回までを「高」と判断していたものを７日で割って、１日で３〜１４回までを「高」と判断する。これにより、略同一の判断基準でありながら、発生頻度が上がれば短期間に評価が行われるようになり、最大１週間後に変更されていたレベルが最短で１日で変更されることになる。

図７は、上記オートログアウト機能対してのオートログアウト時間設定を定めるものである。ログアウトし忘れは、複合機１００においてその操作部１０８からログインしてコピーやファクスなどを利用した後、利用者が手動でログアウトしないまま立ち去ってしまうことをいう。ログアウトし忘れがあった場合、他人は、ログイン操作をすることなく、前操作者の権限にて操作を出来てしまうことになる。このログアウトし忘れに対する対策としてオートログアウト機能がある。操作部１０８への操作が最後に行われてから指定の時間が経過してもログアウトされていなかった場合には、自動的にログアウト処理が行われる。

セキュリティ強度の観点からは、この時間は、短いほど安全と言えるが、自動でログアウトするログアウト時間が短くなりすぎると、操作パネルの前で選択している最中にログアウトしてしまうことが起こり易くなり、利便性が低下してしまう。反対に、ログアウト時間を長く設定すると、操作者が複合機を離れた後、より長い時間ログイン状態が維持されてしまい、当該操作者のアカウントで他者に操作されてしまう蓋然性が増えることになる。

図７（Ａ）に示す判断テーブルは、セキュリティレベルを３段階で定義した場合の判断テーブルである。図７（Ｂ）に示す判断テーブルは、実際のオートログアウト発生回数に対応付けて設定すべき設定レベルを保持するデータである。図７（Ｂ）に示す判断テーブルを参照することにより、どの程度の回数でオートログアウトが発生した場合に、いずれのセキュリティレベルとするかを判断することが可能となる。

図７（Ｂ）の例では、１週間を評価期間として、回数の範囲に対応付けて設定レベルが記述されている。ここでは、ログアウト忘れが発生しないのであれば比較的長めの時間（「３６０秒」）、ログアウト忘れが頻繁に発生するのであれば比較的短め（「３０秒」）に設定している。例えば、１週間のオートログアウト発生回数が４回であった場合は、１〜１４回の範囲内にあるため、セキュリティレベル「中」であると判定される。そして、図７（Ａ）に示すテーブルから、オートログアウト時間を「１８０秒」とすべきと判断される。

本実施形態では、図５〜図７に示した判断テーブルに基づいて、現在の設定レベルから、現在の設定レベルよりも高いセキュリティ強度に上げられるだけでなく、現在の設定レベルよりもセキュリティ強度が緩和された設定レベルへの変更を行うことができる。なお、図５〜図７に示した判断テーブルは、パスワードクラックおよびログアウトし忘れのインシデントにそれぞれ対応したロックアウト機能およびオートログアウト機能のセキュリティ設定項目を判断するためのものを例示している。ＤｏＳ攻撃や地紋印刷での違反検出回数などの他のセキュリティ・インシデントに対しても同様に適用することができる。

以下、図８および図９を参照しながら、スケジュール管理部１１８およびセキュリティレベル判断部１１４が連携して動作して実現されるセキュリティ設定判断ルーチンについて説明する。

図８は、第１の実施形態による複合機１００におけるスケジュール管理部１１８が実行する処理を示すフローチャートである。図８に示す処理は、例えば複合機１００の電源が投入されたことに応答して、あるいは、管理者からの明示的な指示があったことに応答して、ステップＳ３００から開始される。

ステップＳ３０１では、スケジュール管理部１１８は、セキュリティ設定判断処理に関するスケジュールの設定値を読み出し、周期設定を行う。設定は、（１）固定または自動のいずれか、（２）固定であれば、固定周期、自動であれば初期周期を選択することを含む。固定周期または初期周期は、１週間、１ヶ月などの評価周期と、いつまで繰り返すかの期間が設定される。自動が選択されると、上述した好適な実施形態による、セキュリティ・インシデントの現在の発生状況に応じた動的変更が有効化される。なお、設定は、管理者により事前に設定されるものとする。

ステップＳ３０２では、周期設定が自動であるか固定であるかに応じて処理を分岐させる。ステップＳ３０２で、周期設定が自動である場合（自動）は、ステップＳ３０３へ処理が分岐される。ステップＳ３０３では、スケジュール管理部１１８は、周期変更依頼を受信したか否かを判定する。ステップＳ３０３で、周期変更依頼を受信したと判定された場合（ＹＥＳ）は、ステップＳ３０４へ処理を分岐させる。ステップＳ３０４では、周期変更依頼に含まれる指定の周期に周期設定を変更する。

これに対して、ステップＳ３０３で、周期変更依頼を受信していないと判定された場合（ＮＯ）は、ステップＳ３０５へ処理を分岐させる。なお、本処理を開始直後の初回のループでは、未だセキュリティ設定判断処理が呼び出されていないため、周期変更依頼を受信することはなく、通常、ステップＳ３０５へ処理が分岐される。ステップＳ３０２で、周期設定が固定である場合（固定）は、ステップＳ３０５へ直接処理が分岐される。

スケジューリングを開始した後は、ステップＳ３０５では、定期的に、設定された周期が満了したか否かを判定する。ステップＳ３０５で、周期が満了していなければ（ＮＯの間）、一定の待ち時間を経て、ステップＳ３０５を繰り返す。一方、ステップＳ３０５で、周期が満了したと判定された場合（ＹＥＳ）は、ステップＳ３０６へ処理を分岐させる。ステップＳ３０６では、スケジュール管理部１１８は、セキュリティレベル判断部１１４に対し、判断要求依頼を送信する。

ステップＳ３０７では、スケジュールの終了時期が到来したか否かを判定する。ステップＳ３０７で、スケジュールの終了時期が到来していないと判定された場合（ＮＯ）は、ステップＳ３０２へ処理をループさせ、処理を繰り返す。一方、ステップＳ３０７で、スケジュールの終了時期が到来したと判定された場合（ＹＥＳ）は、ステップＳ３０８へ処理を分岐させて、本処理を終了する。

図９は、本実施形態による複合機１００におけるセキュリティレベル判断部１１４が実行する処理を示すフローチャートである。図９に示す処理は、セキュリティレベル判断部１１４がスケジュール管理部１１８からの、図８に示したステップＳ３０６で送信された判断要求依頼を受信したことに応答して、ステップＳ４００から開始される。

ステップＳ４０１では、セキュリティレベル判断部１１４は、セキュリティカウンタ格納部１１２から所定のセキュリティカウンタ（例えば、ロックアウト発生カウンタ）の値を読み出す。ステップＳ４０２では、セキュリティレベル判断部１１４は、読み出したカウンタ値と判断テーブルとを比較して、例外処理を呼び出す閾値を超えているか否かを判定する。ステップＳ４０２で、読み出したカウンタ値が例外処理を呼び出す閾値を超えていないと判定された場合（ＮＯ）は、ステップＳ４０３へ処理が分岐される。

ステップＳ４０３では、セキュリティレベル判断部１１４は、判断テーブルに従って、適切な設定レベルを判断し、セキュリティ設定変更部１２０に対し設定変更要求を通知する。ステップＳ４０４では、さらに、周期設定が自動であるか固定であるかに応じて処理を分岐させる。ステップＳ４０４で、周期設定が自動である場合（自動）は、ステップＳ４０５へ処理が分岐される。ステップＳ４０５では、セキュリティレベル判断部１１４は、判断テーブルに基づいて、現在の状況に適切な評価期間を判断し、スケジュール管理部１１８に対し、周期変更依頼を発行し、ステップＳ４０７へ処理を進める。この周期変更依頼は、図８に示すステップＳ３０３の判断で使用されることになる。

ステップＳ４０７では、セキュリティレベル判断部１１４は、セキュリティカウンタ格納部１１２の所定のセキュリティカウンタ（例えば、ロックアウト発生カウンタ）の値をクリアし、ステップＳ４０８で本処理を終了する。

また、ステップＳ４０２で、読み出したカウンタ値が例外処理を呼び出す閾値を超えていると判定された場合（ＹＥＳ）は、ステップＳ４０６へ処理が分岐される。ステップＳ４０６では、セキュリティレベル判断部１１４は、自ら電源を落としてしまうか、ネットワークログイン処理を停止するといった例外処理を実施し、ステップＳ４０７へ処理が進められる。

以上説明した第１の実施形態による複合機１００では、複合機１００が利用されている環境のセキュリティ・インシデントを評価しているセキュリティカウンタを分析することにより、複合機の該当するセキュリティ設定項目の適切なレベルが判断される。攻撃があると予測される事象に対しては、複合機の該当するセキュリティ設定項目のレベルを上げ、反対に攻撃が発生しないと予測される事象に対しては、複合機の該当するセキュリティ設定項目のレベルが下げられる。このため、複合機１００が利用されている環境で実際に検出された事象に応じた適切な設定レベルを判断することが可能といえる。

なお、上述した第１の実施形態では、情報処理システムとして、画像処理サービスを提供し、セキュリティ・インシデントが発生し得るとともに、自身のセキュリティ設定の判断機能を備えた複合機を一例として説明した。しかしながら、情報処理システムの構成は、これに限定されるものではない。他の実施形態では、画像処理サービスを提供する複合機とは別個に設けられた情報処理装置にセキュリティ設定判断機能を設けることもできる。以下、そのような他の実施形態について説明する。

（第２の実施形態）
以下に説明する第２の実施形態では、情報処理システムとして、セキュリティ・インシデントを発生させる複合機２１０と、複合機２１０で発生したインシデントを評価し、複合機２１０のセキュリティ設定項目の適切な設定レベルを判断するセキュリティ分析装置２５０とを含むセキュリティシステム２００を一例として説明する。なお、第２の実施形態では、第１の実施形態と類似する部分があるため、特に相違点を中心に説明する。なお、セキュリティ分析装置２５０は、本実施形態における設定判断装置を構成する。

図１０は、第２の実施形態による複合機２１０とセキュリティ分析装置２５０とを含むセキュリティシステム２００の構成を示す機能ブロック図である。複合機２１０は、第１の実施形態と同様に、基本処理部２１２と、スキャナ部２１４と、プリント部２１６と、操作部２１８とを含み構成される。基本処理部２１２、スキャナ部２１４、プリント部２１６および操作部２１８は、第１の実施形態と同様なため説明は割愛する。

本実施形態による複合機２１０は、さらに、インシデント検出部２２０と、ログ格納部２２２と、転送スケジュール管理部２２４と、セキュリティ設定変更部２２６とを含み構成される。

インシデント検出部２２０は、複合機２１０内でのセキュリティ・インシデントの発生を検出する検出手段である。なお、説明する第２の実施形態では、複合機２１０で発生するセキュリティ・インシデントなどのイベントは、ログ記録という形で、複合機２１０のハードディスクや不揮発性メモリ内に格納される。その際、連続失敗に応答したロックアウト発生を検知するインシデント検出部２２０が備えられる場合も、インシデント検出部２２０が備えられず、単にログインエラーなどが検知される場合も、すべて同じようにログ格納部２２２内にログとして保存される。

転送スケジュール管理部２２４は、格納されたログを、一定基準のデータ量のログが格納されるなどの所定の基準に達した段階、または定期的に、外部のログ管理を行うサーバに転送する機能を有する。本実施形態では、転送先のサーバには、セキュリティ分析装置２５０が含まれることになる。セキュリティ設定変更部２２６は、第１の実施形態と同様に、パーソナル・コンピュータなどを含めて外部の装置から複合機２１０のセキュリティ設定を行うためのインタフェースを経由して動作するモジュールである。

セキュリティ分析装置２５０は、基本処理部２５２と、セキュリティ・インシデント検出処理部２５４と、セキュリティカウンタ格納部２５６と、セキュリティレベル判断部２５８と、判断テーブル２６０と、スケジュール管理部２６２とを含み構成される。

セキュリティカウンタ格納部２５６は、第１の実施形態と同様に、セキュリティ・インシデントの発生の検知に応答して更新される各セキュリティカウンタを格納する。ただし、セキュリティカウンタを抽出するためには、第２の実施形態では、セキュリティ・インシデント検出処理部２５４が、複合機２１０から転送されたログを解析する。ログ解析の結果、セキュリティ・インシデントの発生が検知された場合には、セキュリティ・インシデント検出処理部２５４は、セキュリティカウンタ格納部２５６に格納された、対応するカウンタをインクリメントして更新する。ロックアウト発生がログとして記録される場合は、そのまま、カウンタがインクリメントされる。ロックアウト発生のログがなくとも、例えば、パスワード入力エラーが基準回数連続して発生した場合も、パスワードクラックのインシデントが発生したものとみなして、カウンタがインクリメントされる。

セキュリティレベル判断部２５８、判断テーブル２６０およびスケジュール管理部２６２は、第１の実施形態で説明した、セキュリティレベル判断部１１４、判断テーブル１１６およびスケジュール管理部１１８と同様である。ただし、セキュリティレベル判断部２５８は、判断対象である複合機２１０が外部に存在するため、セキュリティ設定変更要求をネットワーク経由で複合機２１０に送信する。

なお、第２の実施形態では、１つの複合機２１０に対して、１つのセキュリティ分析装置２５０が設けられているが、これに限定されるものではない。他の実施形態では、セキュリティ分析装置に対して、複数の複合機を管理対象として設定してもよい。この場合は、セキュリティ分析装置は、複合機毎に独立してセキュリティ設定の判断を行ってもよいし、複数の複合機が利用される環境全体におけるセキュリティ・インシデントの発生を評価し、環境全体としての評価に基づいて複合機毎、複数の複合機のグループ毎、または全体について、セキュリティ設定項目の適切な設定レベルを判断する構成としてもよい。また、セキュリティ分析装置２５０上の機能部も、単一の情報処理装置上に実現されているほか、複数の情報処理装置上に並列または分散して実装されることは、妨げられるものではない。

（第３の実施形態）
以下に説明する第３の実施形態では、第２の実施形態と同様に、情報処理システムとして、複合機３１０とセキュリティ分析装置３５０とを含むセキュリティシステム３００を一例として説明する。なお、第３の実施形態では、第２の実施形態と類似する部分があるため、特に相違点を中心に説明する。

図１１は、第３の実施形態による複合機３１０とセキュリティ分析装置３５０とを含むセキュリティシステム３００の構成を示す機能ブロック図である。複合機３１０は、第２の実施形態と同様に、基本処理部３１２と、スキャナ部３１４と、プリント部３１６と、操作部３１８とを含み構成される。本実施形態による複合機３１０は、さらに、インシデント検出部３２０と、セキュリティ・インシデント転送部３２２と、セキュリティ設定変更部３２４とを含み構成される。

インシデント検出部２２０は、複合機２１０内でのセキュリティ・インシデントの発生を検出する検出手段である。セキュリティ・インシデント転送部３２２は、複合機３１０でセキュリティ・インシデントが発生すると、その情報をそのままリアルタイムに外部の転送先へ転送する。転送先は、セキュリティ分析装置３５０が含まれることになる。セキュリティ設定変更部３２４は、第１の実施形態および第２の実施形態と同様である。

セキュリティ分析装置３５０は、基本処理部３５２と、セキュリティ・インシデント受信部３５４と、セキュリティカウンタ格納部３５６と、セキュリティレベル判断部３５８と、判断テーブル３６０と、スケジュール管理部３６２とを含み構成される。第３の実施形態によるセキュリティ分析装置３５０は、ログを解析する必要はなく、第１の実施形態と同様な処理で、セキュリティ・インシデント受信部３５４が受け取ったリアルタイムのインシデント情報に基づき、セキュリティカウンタ格納部３５６に格納された、対応するカウンタが更新される。

セキュリティレベル判断部３５８、判断テーブル３６０およびスケジュール管理部３６２は、第１の実施形態で説明したものと同様である。ただし、第２の実施形態と同様に、セキュリティレベル判断部３５８は、判断対象である複合機３１０が外部に存在するため、セキュリティ設定変更要求をネットワーク経由で複合機３１０に送信する。

なお、第３の実施形態でも、第２の実施形態と同様に、セキュリティ分析装置に対して、複数の複合機を管理対象として設定してもよい。また、セキュリティ分析装置２５０上の機能部も、単一の情報処理装置上に実現されているほか、複数の情報処理装置上に並列または分散して実装されることは、妨げられるものではない。

なお、上述までの実施形態では、セキュリティ設定の判断の対象となる情報処理装置としては、複合機を一例として説明した。しかしながら、判断対象となり得る情報処理装置は、特に限定されるものではなく、複合機のほか、プリンタ、複写機などの画像形成装置、スキャナなどの画像読取装置、ファクシミリなどの画像通信装置、プロジェクタなどの映像投影装置、ディスプレイなどの映像表示装置、電子会議端末、電子黒板、携帯情報端末、撮像装置、自動販売機、医療機器、電源装置、空調システム、ガスや水道や電気などの計量装置、冷蔵庫や洗濯機といったネットワーク家庭用電化製品など、ネットワークに接続される如何なる電子機器を対象とすることができる。

以下、図１２を参照しながら、本実施形態によるセキュリティ分析装置（以下、２５０，３５０のうちの２５０を代表して説明する。）のハードウェア構成について説明する。図１２は、本実施形態によるセキュリティ分析装置２５０のハードウェア構成を示す図である。本実施形態によるセキュリティ分析装置２５０は、デスクトップ型のパーソナル・コンピュータ、ワークステーションなどの汎用コンピュータなどとして構成されている。図１２に示すセキュリティ分析装置２５０は、ＣＰＵ（Central Processing Unit）１２と、ＣＰＵ１２とメモリとの接続を担うノースブリッジ１４と、ＰＣＩバスやＵＳＢなどのＩ／Ｏとの接続を担うサウスブリッジ１６とを含む。

ノースブリッジ１４には、ＣＰＵ１２の作業領域を提供するＲＡＭ（Random Access Memory）１８と、映像信号を出力するグラフィックボード２０とが接続される。グラフィックボード２０には、映像出力インタフェースを介してディスプレイ４０に接続される。

サウスブリッジ１６には、ＰＣＩ（Peripheral Component Interconnect）２２、ＬＡＮポート２４、ＩＥＥＥ（、The Institute of Electrical and Electronics Engineers, Inc.）１３９４、ＵＳＢ（Universal Serial Bus）ポート２８、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）などの補助記憶装置３０、オーディオ入出力３２、シリアルポート３４が接続される。補助記憶装置３０は、コンピュータ装置を制御するためのＯＳ、上述した機能部を実現するための制御プログラムや各種システム情報や各種設定情報を格納する。ＬＡＮポート２４は、セキュリティ分析装置２５０をＬＡＮに接続させるインタフェース機器である。

ＵＳＢポート２８には、キーボード４２およびマウス４４などの入力装置が接続されてもよく、当該セキュリティ分析装置２５０の操作者からの各種指示の入力を受け付けるためのユーザ・インタフェースを提供することができる。本実施形態によるセキュリティ分析装置２５０は、補助記憶装置３０から制御プログラムを読み出し、ＲＡＭ１８が提供する作業空間に展開することにより、ＣＰＵ１２の制御の下、上述した各機能部および各処理を実現する。

図１３は、複合機（以下、１００，２１０，３１０のうちの１００を代表して説明する。）のハードウェア構成の実施形態を示す。複合機１００は、コントローラ５２と、オペレーションパネル８２と、ＦＣＵ（ファクシミリ・コントロール・ユニット）８４と、エンジン部８６とを含み構成される。コントローラ５２は、ＣＰＵ（中央演算処理装置）５４と、ＮＢ（ノースブリッジ）５８と、ＮＢ５８を介してＣＰＵ５４と接続するＡＳＩＣ６０と、システムメモリ５６とを含み構成される。ＡＳＩＣ６０は、各種画像処理を実行し、ＡＧＰ（Accelerated Graphic Port）８８を介してＮＢ５８と接続される。システムメモリ５６は、描画用メモリなどとして用いられる。

ＡＳＩＣ６０は、ローカルメモリ６２と、ハードディスクドライブ６４と、フラッシュメモリなどの不揮発性メモリ（以下、ＮＶ−ＲＡＭとして参照する。）６６と接続する。ローカルメモリ６２は、コピー用画像バッファや符号バッファとして用いられ、ＨＤＤ６４は、画像データ、文書データ、プログラム、フォントデータやフォームデータなどを蓄積するストレージである。ＮＶ−ＲＡＭ６６は、複合機１００を制御するためのプログラムや各種システム情報や各種設定情報を格納する。

コントローラ５２は、さらにＳＢ（サウスブリッジ）６８と、ＮＩＣ（ネットワーク・インタフェース・カード）７０と、ＳＤ（Secure Digital）カード・スロット７２と、ＵＳＢインタフェース７４と、ＩＥＥＥ１３９４インタフェース７６と、セントロニクス・インタフェース７８とを含み構成され、これらはＰＣＩバス９０を介してＮＢ５８と接続される。ＳＢ６８は、図示しないＲＯＭやＰＣＩバス周辺デバイスなどとＮＢ５８とを接続するためのブリッジである。ＮＩＣ７０は、複合機１００をインターネットやＬＡＮなどのネットワークに接続するインタフェース機器であり、ネットワークを介した指令を受付けている。ＳＤカード・スロット７２は、図示しないＳＤカードを着脱可能に装着する。ＵＳＢインタフェース７４、ＩＥＥＥ１３９４インタフェース７６およびセントロニクス・インタフェース７８は、それぞれの規格に準じたインタフェースであり、印刷ジョブなどを受付けている。

表示部であるオペレーションパネル８２は、コントローラ５２のＡＳＩＣ６０と接続され、オペレータからの各種指示の入力を受付けや、画面表示を行なうためのユーザ・インタフェースを提供する。ＦＣＵ８４およびエンジン部８６は、ＰＣＩバス９２を介してＡＳＩＣ６０と接続する。ＦＣＵ８４は、Ｇ３またはＧ４といったファクシミリ通信規格に準じた通信方法を実行する。エンジン部８６は、アプリケーションが発行したプリント指令やスキャン指令を受け、画像形成処理や画像読取処理を実行する。エンジン部８６は、スキャナ部およびプリント部を構成する。

以上説明したように、上述した本実施形態によれば、情報処理装置が利用されている環境で実際に検出された事象に応じて情報処理装置の該事象に対応するセキュリティ設定の設定レベルを判断することができる、情報処理システム、情報処理装置、設定判断方法およびプログラムを提供することができる。

なお、上記機能部は、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）などのレガシープログラミング言語やオブジェクト指向プログラミング言語などで記述されたコンピュータ実行可能なプログラムにより実現でき、ＲＯＭ、ＥＥＰＲＯＭ、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＤＶＤ−ＲＷ、ブルーレイディスク、ＳＤカード、ＭＯなど装置可読な記録媒体に格納して、あるいは電気通信回線を通じて頒布することができる。

これまで本発明の実施形態について説明してきたが、本発明の実施形態は上述した実施形態に限定されるものではなく、他の実施形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１０…ボード、１２…ＣＰＵ、１４…ノースブリッジ、１６…サウスブリッジ、１８…ＲＡＭ、２０…グラフィックボード、２２…ＰＣＩ、２４…ＬＡＮポート、２６…ＩＥＥＥ１３９４ポート、２６…ＮＶ−ＲＡＭ、２８…ＵＳＢポート、３０…補助記憶装置、３２…オーディオ入出力、３４…シリアルポート、４０…ディスプレイ、４２…キーボード、４４…マウス、５０…複合機、５２…コントローラ、５４…ＣＰＵ、５６…システムメモリ、５８…ＮＢ、６０…ＡＳＩＣ、６２…ローカルメモリ、６４…ＨＤＤ、６８…ＳＢ、７０…ＮＩＣ、７２…ＳＤカード・スロット、７４…ＵＳＢインタフェース、７６…ＩＥＥＥ１３９４インタフェース、７８…セントロニクス・インタフェース、８２…オペレーションパネル、８４…ＦＣＵ、８６…エンジン部、８８…ＡＧＰ、９０…ＰＣＩバス、９２…ＰＣＩバス、１００，２１０，３１０…複合機、１０２，２１２，３１２…基本処理部、１０４，２１４，２１４…スキャナ部、１０６，２１６，３１６…プリント部、１０８，２１８，３１８…操作部、１１０，２２０，３２０…インシデント検出部、１１２，２５６，３５６…セキュリティカウンタ格納部、１１４，２５８，３５８…セキュリティレベル判断部、１１６，２６０，３６０…判断テーブル、１１８，２６２，３６２…スケジュール管理部、１２０，２２６，３２４…セキュリティ設定変更部、１２４…判断部、１２６…変更要求発行部、１２８…周期変更依頼発行部、２００，３００…セキュリティシステム、２２２…ログ格納部、２２４…転送スケジュール管理部、２５０…セキュリティ分析装置、２５２…基本処理部、２５４…セキュリティ・インシデント検出処理部、３２２…セキュリティ・インシデント転送部、３５４…セキュリティ・インシデント受信部

特開２００８−１２３２０２号公報 特開２００９−０９０４７１号公報

Claims (13)

1. 情報処理装置のセキュリティ設定を判断する情報処理システムであって、
   前記情報処理装置が含まれる環境で発生する事象を評価する評価手段と、
   前記評価手段による前記事象の評価結果に基づいて、前記情報処理装置の前記事象に対応したセキュリティ設定に対する、複数のレベルのうちの設定レベルを判断する判断手段と、
   前記情報処理装置の前記事象に対応したセキュリティ設定を、前記判断手段により判断された設定レベルに応じたものへと変更する変更手段と
   を含み、前記事象は、ロックアウト発生、ＤｏＳ攻撃および地紋印刷での違反のいずれかであることを特徴とする、情報処理システム。
2. 前記情報処理システムは、
   前記情報処理装置に対し、前記判断手段により判断された設定レベルに応じたものへと変更するよう変更要求を発行する変更要求発行手段、または、前記情報処理装置に関連付けて登録された管理者に対し、前記判断手段により判断された設定レベルに応じたものへと変更するよう依頼する変更依頼手段
   をさらに含む、請求項１に記載の情報処理システム。
3. 前記情報処理装置は、前記変更手段を含み、前記変更手段は、前記変更要求発行手段からの変更要求に応答して、または、前記変更依頼手段による依頼に対応した前記管理者からの指示に応答して、前記事象に対応したセキュリティ設定を前記設定レベルに変更することを特徴とする、請求項２に記載の情報処理システム。
4. 前記判断手段は、前記事象の評価結果に基づいて、前記事象の評価を次回開始するタイミングを決定することを特徴とする、請求項１〜３のいずれか１項に記載の情報処理システム。
5. 前記判断手段は、前記事象の評価結果に基づいて、前記情報処理装置の利用を停止する処理を含む例外処理を呼び出すかを判断することを特徴とする、請求項１〜４のいずれか１項に記載の情報処理システム。
6. 前記セキュリティ設定の前記変更は、現在の設定レベルから、前記現在の設定レベルよりもセキュリティ強度が緩和された設定レベルへの変更を含む、請求項１〜５のいずれか１項に記載の情報処理システム。
7. 前記情報処理装置が含まれる環境で発生する事象は、ロックアウト発生であり、前記情報処理システムは、
   前記情報処理装置が含まれる環境での前記ロックアウト発生を検出する検出手段をさらに、含み、前記情報処理装置の前記ロックアウト発生に対応したセキュリティ設定は、ロックアウト機能の設定を含む、請求項１〜６のいずれか１項に記載の情報処理システム。
8. 前記評価手段および前記判断手段は、前記情報処理装置に含まれるか、または、前記情報処理装置とは別の情報処理装置に含まれる、請求項１〜７のいずれか１項に記載の情報処理システム。
9. 情報処理装置と、前記情報処理装置のセキュリティ設定を判断する設定判断装置とを含む情報処理システムであって、前記設定判断装置は、
   前記情報処理装置が含まれる環境で発生する事象を評価する評価手段と、
   前記評価手段による前記事象の評価結果に基づいて、前記情報処理装置の前記事象に対応したセキュリティ設定に対する、複数のレベルのうちの設定レベルを判断する判断手段と
   を含み、前記情報処理装置は、
   前記情報処理装置で発生した前記事象に関する情報を前記設定判断装置へ転送する転送手段と、
   前記情報処理装置の前記事象に対応したセキュリティ設定を、前記判断手段により判断された設定レベルに応じたものへと変更する変更手段と
   を含み、前記事象は、ロックアウト発生、ＤｏＳ攻撃および地紋印刷での違反のいずれかであることを特徴とする、情報処理システム。
10. 自身のセキュリティ設定を判断する情報処理装置であって、
    当該情報処理装置が含まれる環境で発生する事象を評価する評価手段と、
    前記評価手段による前記事象の評価結果に基づいて、当該情報処理装置の前記事象に対応したセキュリティ設定に対する、複数のレベルのうちの設定レベルを判断する判断手段と、
    前記情報処理装置の前記事象に対応したセキュリティ設定を、前記判断手段により判断された設定レベルに応じたものへと変更する変更手段と
    を含み、前記事象は、ロックアウト発生、ＤｏＳ攻撃および地紋印刷での違反のいずれかであることを特徴とする、情報処理装置。
11. 前記変更手段は、前記判断手段による判断結果に応答して、または、前記判断手段による判断結果に基づく管理者の指示に応答して、セキュリティ設定の変更を反映する、請求項１０に記載の情報処理装置。
12. 情報処理装置のセキュリティ設定を判断する設定判断方法であって、
    前記情報処理装置が含まれる環境で発生する事象を評価するステップと、
    前記評価するステップで評価された前記事象の評価結果に基づいて、前記情報処理装置の前記事象に対応したセキュリティ設定に対する、複数のレベルのうちの設定レベルを判断するステップと、
    前記情報処理装置の前記事象に対応したセキュリティ設定を、前記判断手段により判断された設定レベルに応じたものへと変更するステップと
    を含み、前記事象は、ロックアウト発生、ＤｏＳ攻撃および地紋印刷での違反のいずれかであることを特徴とする、設定判断方法。
13. 情報処理装置のセキュリティ設定を判断する設定判断装置を実現するためのプログラムであって、コンピュータを、
    前記情報処理装置が含まれる環境で発生する事象を評価する評価手段、
    前記評価手段による前記事象の評価結果に基づいて、前記情報処理装置の前記事象に対応したセキュリティ設定に対する、複数のレベルのうちの設定レベルを判断する判断手段、および
    前記判断手段により判断された設定レベルへ前記情報処理装置の前記事象に対応したセキュリティ設定を変更するよう通知する変更通知手段
    として機能させるためのプログラムであり、前記事象は、ロックアウト発生、ＤｏＳ攻撃および地紋印刷での違反のいずれかであることを特徴とする、プログラム。