JP6579735B2 - 情報処理システム、情報処理装置、情報処理システムの制御方法、情報処理装置の制御方法、及びプログラム - Google Patents

Description

本発明は、機器のセキュリティ設定に関する。

近年の複合機においては、ネットワークに接続することによって、単純に画像データの印刷や送信を行うだけではなく、画像データを格納し、パーソナルコンピュータ（ＰＣ）等に対してファイルサービス機能を提供するようになっている。その結果、ネットワーク上に存在するその他のサーバ機器となんら変わらぬ機能を有している。

一方、オフィスのネットワークに接続するＰＣやサーバ機器（ファイルサーバや認証サーバ等）は、オフィス毎に決められたセキュリティ・ポリシーに従って運用されることが求められている。ここでいうセキュリティ・ポリシーとは、企業全体のセキュリティに関する基本方針を示す。広義には、セキュリティ対策基準や個別具体的な実施手順などを含む。より具体的には、どの情報を誰が読み取れるようにするか、どの操作を誰に対して許可するか、どのデータを暗号化するかなど、情報の目的外利用や外部からの侵入、機密漏洩などを防止するための方針を定めたものをいう。

昨今の複合機もサーバ機器としての機能を多く持つため、サーバ機器と同様にセキュリティ・ポリシーに従うことが求められている。ここでいうセキュリティ・ポリシーに従うとは、例えば機器を操作する際にゲスト利用を禁止とすることや、通信経路の暗号化を必須とするなど、オフィス内の機器の不正使用や情報漏えいを防ぐためにセキュリティ上の運用に制約を設けることを示している。

従来より、複合機においては、機器のいくつかの動作設定（以下ユーザモード設定と呼ぶ）を管理者が操作して上記セキュリティ・ポリシーに従った動作にさせることが可能である。しかし、従来のユーザモード設定では、数多くの設定項目を正しく設定する必要がある。これらの設定項目に正しい設定がなされないと、セキュリティ・ポリシーが守られていない運用を事実上許容することになり、オフィスのセキュリティを脅かす可能性があった。

そこで、ユーザモード設定だけではなく、外部からセキュリティ・ポリシーを設定し、起動時にセキュリティ・ポリシーとユーザモード設定とを比較し、該比較の結果、セキュリティ・ポリシーを遵守できる設定であると判断された時にだけ、装置の起動を許可するシステムが提案されている（特許文献１）。

特開２００９−２３０１７８号公報

従来のシステムでは、あるセキュリティ・ポリシーを導入した際に、ユーザモード設定がセキュリティ・ポリシーに違反している場合がある。このような場合に、複合機の起動を行うと情報漏えいや不正使用などのセキュリティ的な危険性がある。この問題に対処するためには、ユーザモード設定を変更してセキュリティ・ポリシーに従わせる必要がある。しかし、複合機のユーザモード設定の設定項目は数多くあり、どの設定を変更すればセキュリティ・ポリシーに従うかの判断が管理者にとって困難であるという設定上の問題があった。

例えば、特許文献１で提案されている装置の場合、起動時にユーザモード設定がセキュリティ・ポリシーを満たしていない場合、ユーザが、ユーザモード設定を、セキュリティ・ポリシーを満たすように変更することにより装置を起動することができる。しかし、複合機のようにユーザモードの設定項目が数多くある場合には、ユーザは、どの設定項目を変更すればセキュリティ・ポリシーを満たすのか判断することが困難であった。
また、特許文献１で提案されている装置の場合、起動時にユーザモード設定がセキュリティ・ポリシーを満たしていても、起動後に、ユーザによりユーザモード設定が変更され、セキュリティ・ポリシーに違反した状態で装置が使用されてしまう可能性があった。

本発明は、上記の問題点を解決するためになされたものである。本発明の目的は、セキュリティ・ポリシーに従うように装置の設定変更を行うことができ、さらに、セキュリティ・ポリシーに従った状態を維持しつつ設定の変更を可能とする仕組みを提供することである。

本発明は、セキュリティ・ポリシーを設定するための第１の情報処理装置と、前記第１の情報処理装置で設定されるセキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置を有する情報処理システムであって、前記第１の情報処理装置は、設定されるセキュリティ・ポリシーに基づいて、前記第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成する生成手段を有し、前記生成手段は、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成し、前記第２の情報処理装置は、前記第１の情報処理装置で生成された強制データに含まれる前記設定値を前記第２の情報処理装置に設定し、前記強制データに含まれる該設定値の制御情報に基づく該設定値の変更の禁止制御を可能にする適用処理を行う適用手段、を有し、前記適用手段は、前記設定値が指定されておらず前記制御情報が無効である旨を含む前記強制データを受信した場合、受信したことに伴う前記設定値の設定は行わず、かつ前記禁止制御を行わないことを特徴とする。

本発明によれば、セキュリティ・ポリシーに従うように装置の設定変更を行うことができ、さらに、セキュリティ・ポリシーに従った状態を維持しつつ設定の変更を可能とすることができる。

本発明の情報処理システムのユースケース図 機器のハードウェア構成図 実施例１のセキュリティ・ポリシーの制御に関連する機能構成図 画面制御部が表示制御するユーザインタフェース画面 機器設定格納部の論理的な構造を例示する図 アクセス制御情報格納部の論理的な構造を例示する図 実施例１のポリシー生成部のユーザインタフェース画面 実施例１のポリシー変換ルールの論理的な構造を例示する図 実施例１のユーザモード強制データの書式を例示する模式図 ポリシー変換部の動作を説明するためのフローチャート 実施例１の機器設定受信部の動作を説明するためのフローチャート 画面制御部の動作を説明するフローチャート 設定変更不可能状態の場合のユーザインタフェース画面 実施例２のポリシー生成部のユーザインタフェース画面 実施例２のユーザモード強制データの書式を例示する模式図 実施例２のセキュリティ・ポリシーの制御に関連する機能構成図 グループポリシー管理部の動作を説明するためのフローチャート 実施例３のポリシー変換ルールの論理的な構造を例示する図 実施例３の機器設定受信部の動作を説明するフローチャート

以下、本発明を実施するための形態について図面を用いて説明する。

図１は、本発明の一実施例を示す情報処理システムの構成を説明するためのユースケース図である。

図１において、情報システム部門では、当該オフィスのセキュリティ・ポリシーを定義している。セキュリティ・ポリシーとは、オフィスでのセキュリティ対策基準を示す。例えば、どの情報を誰が読み取れるようにするか、どの操作を誰に対して許可するか、どのデータを暗号化するかなど、情報の目的外利用や外部からの侵入、機密漏洩などを防止するなどといったセキュリティ上のルールを示す。

これらセキュリティ・ポリシー（ポリシー定義）を、情報システム部門の担当者（セキュリティ管理者）が、情報処理装置の一例であるパーソナルコンピュータ（以下ＰＣ）１２５を用いて所定の記述ルールで記載する（ポリシー設定項目の設定値として設定する）。すると、ＰＣ１２５が、このポリシー定義に基づいて、該ポリシー定義による機能制限の対象となる複合機１０１に合わせた、ユーザモード設定値とアクセス制御値とを含んだユーザモード強制データを作成し、複合機１０１に送信する。なお、複合機１０１のユーザモード設定値とは、複合機１０１の動作を決定する設定項目の値（設定値）を示し、複合機１０１のアクセス制御値とは、複合機１０１において該設定値の変更の禁止を制御するための制御情報を示す。

なお、ポリシー定義による機能制限の対象となる機器は、画像処理装置の一例である複合機１０１に限定されるものではなく、その他の画像形成装置（例えば、プリンタ、スキャナ等）、パーソナルコンピュータ、携帯端末、家電等の他の情報処理装置であってもよい。

複合機１０１は、ＰＣ１２５から上述のユーザモード強制データを受信すると、該ユーザモード強制データに含まれるユーザモード設定項目の値で自己のユーザモード設定項目の値を書き変えつつ、該ユーザモード強制データに含まれるユーザモード設定項目のアクセス制御値によってユーザモード設定項目の値の変更に制限を加える。これによって、一般ユーザがセキュリティ・ポリシーに反して不正に複合機１０１を利用することができなくなる。また、オフィスの機器管理者は、情報システム部門により定義されたセキュリティ・ポリシーに従わない設定を複合機１０１に行うことが不可能となる。なお、アクセス制御値によって変更を禁止されていないユーザモード設定項目については、設定値を変更可能となる。具体的な仕組みについて下記で説明する。

図２は、本発明の一実施例を示す情報処理システムを構成する機器のハードウェア構成の概略を例示するブロック図である。
図２に示すように、本実施例の情報処理システムは、複合機１０１と、ＰＣ１２５と、これらを互いに接続するネットワーク１２６とを備える。なお、本発明の情報処理システムを構成する機器は、図示例に限定されるものではなく、図示の機器以外に複数の機器がネットワーク１２６に接続されていてもよい。

まず、複合機１０１について説明する。
１０２はネットワーク通信部で、ネットワーク１２６を介して外部機器（例えばＰＣ１２５）と通信を行うためのものである。１０３はＵＩ操作部で、複合機１０１に対する設定を受け付けたり、複合機１０１の状態を表示したり、ユーザからの操作を可能とする。

１０５はＣＰＵで、プリントデータの画像処理や各種制御を実行する。１０７は記憶装置で、プログラムコードや画像データ等を保存する。記憶装置１０７は、例えば、ハードディスクドライブ（ＨＤＤ）やソリッドステートドライブ（ＳＳＤ）等である。１０６はＲＡＭで、ＣＰＵ１０５が実行するプログラムコードや、画像データなどの情報を一時的に保存する。ＣＰＵ１０５は、記憶装置１０７に保存されたプログラムコードをＲＡＭ１０６にロードする等して実行することにより、複合機１０１における各種制御を実現する。

１０８は印刷エンジンで、電子写真技術やインクジェット技術などの既知の技術を用いて画像データを実際の用紙媒体に印刷する。１１４はスキャナエンジンで、用紙媒体に印刷された画像を光学的に読み取る。

上記構成において、複合機１０１におけるコピー機能は次のように実現される。
すなわち、ＵＩ操作部１０３の操作を起点として、ＣＰＵ１０５がＲＡＭ１０６に記憶されたプログラムコードに従ってスキャナエンジン１１４から画像データを読み込む。読み込んだ画像データは記憶装置１０７に取り込まれ、必要な画像処理を加えて印刷エンジン１０８によって出力される。

次に、ＰＣ１２５について説明する。
１１８はネットワーク通信部で、ネットワーク１２６を介して外部機器と通信を行うためのものである。１１９はＣＰＵで、各種制御を実行する。１２０はＲＡＭで、ＣＰＵ１０５が実行するプログラムコードなどの情報を一時的に保存する。１２２は記憶装置で、プログラムコードやデータを保存する。例えば、記憶装置１２２は、ＨＤＤやＳＳＤ等である。ＣＰＵ１１９は、記憶装置１２２に保存されたプログラムコードをＲＡＭ１２０にロードする等して実行することにより、ＰＣ１２５における各種制御を実現する。
１２３はキーボードやポインティングデバイス等の入力部で、管理者によるＰＣ１２５への入力を受け付ける。１２４はディスプレイ等の出力部である。

図３は、実施例１における、ＰＣ１２５及び複合機１０１におけるセキュリティ・ポリシーの制御に関連する機能の概略構成を示すブロック図である。
図３（ａ）は、ＰＣ１２５におけるセキュリティ・ポリシーの制御に関連する機能の概略構成を示す。また、図３（ｂ）は、複合機１０１におけるセキュリティ・ポリシーの制御に関連する機能の概略構成を示す。

なお、図３（ａ）に示すＰＣ１２５の各機能部は、ＰＣ１２５のＣＰＵ１１９が記憶装置１２２に保存されたプログラムコードをＲＡＭ１２０にロードする等して実行することにより実現される。また、図３（ｂ）に示す複合機１０１の各機能部は、複合機１０１のＣＰＵ１０５が記憶装置１０７に保存されたプログラムコードをＲＡＭ１０６にロードする等して実行することにより実現される。このように、本実施例では、図示の機能がソフトウェアで構成されているものとして説明するが、ハードウェアで構成されていてもよい。

図３（ａ）に示すＰＣ１２５において、２０１はポリシー生成部で、情報システム部門の担当者等による、複合機１０１の機能制限を行うべきセキュリティ・ポリシーの実際の設定指示を受け付け、該指示に基づいてポリシー設定項目の設定値（ポリシー設定値）を生成する。なお、図示しないが、ポリシー生成部２０１では、設定するセキュリティ・ポリシーによる機能制限の対象となる装置を指定する指定部を有する。ここでは、複合機１０１が指定されているものとする。該指定の際、該指定した装置の機種も指定するものとしてもよいし、該指定し装置から該装置の機種を取得するようにしてもよい。２０２は変換ルール格納部で、ポリシー生成部２０１で設定可能なポリシー設定項目の設定値と、ポリシー制御の対象となる機器の１以上のユーザモード設定項目の設定値との対応関係を表現するポリシー変換ルールを例えば記憶装置１２２に格納する。２０３はポリシー変換部で、変換ルール格納部２０２に記載されたポリシー変換ルールに従って、ポリシー生成部２０１が生成したポリシー設定値を、対象となる機器のユーザモード設定項目の設定値およびアクセス制御値に変換し、ユーザモード強制データを生成する。２０４は機器設定送信部で、ポリシー変換部２０３が生成したユーザモード強制データを複合機１０１に送信する。

なお、変換ルール格納部２０２には、複数のポリシー変換ルールが格納されていてもよい。例えば、変換ルール格納部２０２に、セキュリティ・ポリシーによる機能制限の対象となる機器の機種ごとのポリシー変換ルールを格納しておき、ポリシー変換部２０３が対象となる機器の機種に応じて、該当するポリシー変換ルールを選択して使用し、ユーザモード強制データを生成するように構成してもよい。

図３（ｂ）に示す複合機１０１において、２１１は機器設定格納部で、ユーザモード設定項目の値を例えば記憶装置１０７に記憶する。２１２は画面制御部で、ユーザモード設定項目に値を設定するための画面制御を行う。２１３は機器設定受信部で、ＰＣ１２５の機器設定送信部２０４が送信したユーザモード強制データを受信する。２１４はアクセス制御情報格納部で、画面制御部２１２がユーザモード設定時に設定値の変更の禁止／許可を制御するための情報（アクセス制御値）を例えば記憶装置１０７に格納する。なお、画面制御部２１２は、アクセス制御情報格納部２１４に格納されているアクセス制御値に基づいて、ユーザモード設定項目の値の変更の禁止／許可を制御する。２１５はセキュリティ機能動作部で、機器設定格納部２１１に格納されるユーザモード設定項目の値に従って、当該機器のセキュリティ機能動作を実施する。

なお、機器設定格納部２１１とアクセス制御情報格納部２１４は、物理的には記憶装置１０７に置かれ、永続的に記憶される情報である。また、機器設定格納部２１１とアクセス制御情報格納部２１４は、同一の格納部として存在しても構わない。
なお、セキュリティ機能動作部２１５は実際には、ネットワーク機能や認証機能など複数の機能として定義される。

図４は、画面制御部２１２が表示制御するユーザインタフェース画面の一例を示すＵＩ図である。
図４において、３００は画面全体で、本設定は「ＩＰＰ印刷／ＳＳＬを使用する」というユーザモード設定項目であることを示している。本ユーザモード設定項目の値は、ＯＮボタン３０１で選択可能なＯＮ状態と、ＯＦＦボタン３０２で選択可能なＯＦＦ状態がある。
図４の例では、ＯＮボタン３０１が押下された状態であるので、ＯＮの設定が行われていることを示している。

また、図４の設定画面において、ＯＮボタン３０１／ＯＦＦボタン３０２によりユーザモード設定項目の値を変更した後に、ＯＫボタン３０３を押下することにより、設定変更を反映させることが可能である。また、キャンセルボタン３０４は、設定変更を反映させることなく、本設定画面を終了させるためのものである。

図５は、機器設定格納部２１１の論理的な構造を例示する図である。
図５では、一例として、５つのセキュリティに関係するユーザモード設定項目とその設定値が記載されているが、これに限定されるものではない。

４１０に記載している「ＩＰＰ印刷／ＳＳＬを使用する」は、ＩＰＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｉｎｔｉｎｇ Ｐｒｏｔｏｃｏｌ，ＲＦＣ２５６５などで定義）を用いた印刷動作の際に、通信経路を盗聴、改ざんされないためにＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）を用いた通信を行うか否かを設定するユーザモード設定項目である。

４１１に記載している「ＳＭＴＰ／ＳＳＬを使用する」は、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）を用いたメール送信の際に、通信経路を盗聴、改ざんされないためにＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）を用いた通信を行うか否かを設定するユーザモード設定項目である。

４１２に記載している「ＳＳＬ通信／暗号強度が強いものを使用する」は、ＳＳＬ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ）で使用する暗号方式を強度の高いもの（例えばＮＩＳＴ（米国国立標準技術研究所）ＳＰ８００−５７で定義された強度の強い暗号）に限定するか否かを設定するユーザモード設定項目である。

４１３に記載した「ＩＰＳｅｃ／暗号強度が強いものを使用する」は、ＩＰＳｅｃを用いたＩＰ層の暗号化を施す際に暗号方式を強度の強いもの（前述）に限定するか否かを設定するユーザモード設定項目である。
４１４に記載した「ユーザ認証を使用する」は、複合機１０１を使用する際に、ユーザ認証を実施する必要があるか否かを設定するユーザモード設定項目である。

４１５に記載した「ユーザ認証／パスワードの文字を制限する」は、複合機１０１に対してユーザ認証を行ってから使用を行う場合に、ユーザが設定するパスワードに使える文字を制限する（例えば数字とアルファベット大文字、小文字をそれぞれ１文字以上使用するなど）か否かを設定するユーザモード設定項目である。

このように、複合機１０１の内部では、各機能に応じて、セキュリティに関するユーザモード設定項目の設定値を、機器設定格納部２１１に保持している。また、複合機１０１の内部では、各ユーザモード設定項目に関してそれぞれ、アクセス制御値をアクセス制御情報格納部２１４に保持している。以下、図６を用いて説明する。

図６は、アクセス制御情報格納部２１４の論理的な構造を示した表である。
図６に示すように、アクセス制御情報格納部２１４では、図５と同様のユーザモード設定項目４１０〜４１５に関して、当該設定項目の値を変更可能かどうかのアクセス制御値１１１０〜１１１５を保持している。なお、アクセス制御値が"ＯＮ"のユーザモード設定項目は変更不可能に制御され、アクセス制御値が"ＯＦＦ"のユーザモード設定項目は変更可能に制御される。

次に、実際にポリシーを設定する例を説明する。
図７は、実施例１における、ＰＣ１２５側にあるポリシー生成部２０１のユーザインタフェース画面を例示する図である。

図７において、５０１はセキュリティ・ポリシーを設定する画面のトップ画面を示す。この画面は、情報システム部の担当者が、入力部１２３からの操作により、ＰＣ１２５上でセキュリティ・ポリシーを設定するためのアプリケーションプログラムを実行することにより、出力部１２４に表示される。

トップ画面５０１において、ネットワーク通信ポリシーボタン５０２を押下すると、ネットワーク通信ポリシーに関する詳細設定画面５０４に遷移する。また、トップ画面５０１において、認証ポリシーボタン５０３を押下すると、認証ポリシーに関する詳細設定画面５０７に遷移する。

ネットワーク通信ポリシーに関する詳細設定画面５０４では、設定部５０５を用いて、「通信経路は暗号化を行う」というセキュリティ・ポリシー設定を行うことができる。また、設定部５０６を用いて、「暗号は強度があるものに限定する」というセキュリティ・ポリシー設定を行うことができる。ＯＫボタン５０４ａを押下すると、トップ画面５０１に戻る。

認証ポリシーに関する詳細設定画面５０７では、設定部５０８を用いて、「ゲスト利用を禁止する」というセキュリティ・ポリシー設定を行うことができる。また、設定部５０９を用いて、「パスワードは強度があるものに限定する」というセキュリティ・ポリシー設定を行うことができる。ＯＫボタン５０７ａを押下すると、トップ画面５０１に戻る。

以上のように、ネットワーク通信ポリシーに関する設定や、認証ポリシーに関する設定を行った後に、トップ画面５０１においてＯＫボタン５１０を押下すると、図３（ａ）に示した各機能部により、セキュリティ・ポリシーの設定が確定し（即ち、ポリシー設定値が生成され）、該確定されたセキュリティ・ポリシーの設定に基づいて、ユーザモード強制データが生成される。

図８は、実施例１における、変換ルール格納部２０２に格納される、セキュリティ・ポリシー設定項目と関連するユーザモード設定項目のポリシー変換ルールを論理的な構造として例示する図である。

図８（ａ）は、図７に示したネットワーク通信ポリシーに関する詳細設定画面５０４で設定可能な各設定項目の値（ポリシー設定値）と各ユーザモード設定項目の値（ユーザーモード設定値）との関係を例示する表である。

図８（ａ）において、横軸は、ネットワーク通信ポリシーの各設定項目である「通信経路は暗号化を行う」、「暗号は強度があるものに限定する」の設定値である「はい」あるいは「いいえ」を示し、その設定に影響を受けるユーザ項目には強制あるいは緩和方法が記載している。なお、「−」で記載されたものは、特に影響がないことを示している。

例えば、「ＩＰＰ印刷／ＳＳＬを使用する」というユーザモード設定項目は、「通信経路は暗号化を行う」というセキュリティ・ポリシー設定項目に影響を受けることを示している。当該セキュリティ・ポリシー設定項目が「はい」に設定された場合は、ユーザモード設定項目の値（図中「値」の記載が該当）をＯＮ（値＝ＯＮ）とし、さらに、アクセス制御設定値（図中「制御」の記載が該当）をＯＮ（制御＝ＯＮ）とするようにルールが記載されている。

逆に、セキュリティ・ポリシー設定項目が「いいえ」に設定された場合は、アクセス制御設定値をＯＦＦ（制御＝ＯＦＦ）とするようにルールが記載されている。
他のユーザモード設定項目も同様である。

図８（ｂ）は、図７に示した認証ポリシーに関する詳細設定画面５０７で設定可能な各設定項目の値（ポリシー設定値）と各ユーザモード設定項目の値（ユーザーモード設定値）との関係を例示する表である。記載方法は、図８（ａ）同様である。

ＰＣ１２５では、ポリシー生成部２０１がセキュリティ・ポリシーの各設定項目の設定値の設定を受け付けると、ポリシー変換部２０３が、変換ルール格納部２０２に格納されたポリシー変換ルールに基づいて、設定された各ポリシー設定値をそれぞれ１以上のユーザモード設定項目の設定値およびアクセス制御値にそれぞれ変換することにより、強制すべきユーザモードのデータ（ユーザモード強制データ）を生成する。そして、該生成されたユーザモード強制データを、機器設定送信部２０４が複合機１０１に送信する。

図９は、実施例１におけるユーザモード強制データの書式を例示する模式図である。
ユーザモード強制データは、強制あるいは緩和対象となるユーザモード設定項目ごとに、その値と、そのアクセス制御値とを羅列したシンプルなリスト構造である。ユーザモード強制データは、文字列をセパレータで区切ったＣＳＶ構造でもかまわないし、所定の書式からなるＸＭＬ構造等でもかまわない。

図９において、７０１はユーザモード設定項目を示しており、キーワードの「ＩＰＰ／ＳＳＬ」は、図５の４１０に記載した「ＩＰＰ印刷／ＳＳＬを使用する」を示している。７０２は設定値を示しており、本ユーザモード設定項目の設定値を"ＯＮ"にすることを示している。さらに、７０３はアクセス制御を"ＯＮ"にすることを示しており、本ユーザモード設定項目へのアクセスを制御することによって、当該ユーザモード設定項目を操作禁止（設定変更禁止）とすることを示している。

また、同様に、７０４はユーザモード設定項目を示しており、キーワードの「ＳＳＬ／ＳＴＲＯＮＧ ＣＲＹＰＴＯ」は、図５の４１２で示した「ＳＳＬ通信／暗号強度が強いものを使用する」を示している。７０５の"−"は、強制すべき値がないことを示している。さらに、７０６はアクセス制御をＯＦＦにすることを示しており、本ユーザモード設定項目のアクセス制御を解除して当該ユーザモード設定項目を操作可能（設定変更可能）とすることを示している。

なお、図９には示していないが、ユーザモード強制データに、該ユーザモード強制データの生成の元となったセキュリティ・ポリシーを設定したセキュリティ管理者の認証情報を付与するように構成してもよい。

図１０は、ポリシー変換部２０３の動作を説明するためのフローチャートである。即ち、このフローチャート示す処理は、ＰＣ１２５のＣＰＵ１１９が記憶装置１２２に保存されたプログラムコードをＲＡＭ１２０にロードする等して実行することにより実現される。なお、ポリシー変換部２０３は、ポリシー生成部２０１から呼び出され、ポリシー生成部２０１のＯＫボタン５１０を押下された時に呼び出され、本フローチャートに示す処理を開始する。

まず、ステップＳ８０１において、ポリシー変換部２０３は、変換ルール格納部２０２からポリシー変換ルールを取得する。次に、Ｓ８０２において、ポリシー変換部２０３は、ポリシー生成部２０１が設定可能であるセキュリティ・ポリシー設定項目（以下、ポリシー設定項目）を一つ取得する。

次に、Ｓ８０３において、ポリシー変換部２０３は、上記Ｓ８０２で取得したポリシー設定項目がポリシー生成部２０１において設定されているか否かを確認し判定する。そして、当該ポリシー設定項目が設定されていないと判定した場合（Ｓ８０３でＮｏの場合）、ポリシー変換部２０３は、Ｓ８０２に処理を戻し、次のポリシー設定項目を取得する。
一方、当該ポリシー設定項目が設定されていると判定した場合（Ｓ８０３でＹｅｓの場合）、ポリシー変換部２０３は、Ｓ８０４に処理を進める。

Ｓ８０４では、ポリシー変換部２０３は、変換ルール格納部２０２に格納されるポリシー変換ルールから、ユーザモード設定項目を１つ取得し、Ｓ８０５に処理を進める。Ｓ８０５では、ポリシー変換部２０３は、上記Ｓ８０４で取得したユーザモード設定項目が上記Ｓ８０２で取得したポリシー設定項目による強制対象となるか否かを確認し判定する。

そして、当該ユーザモード設定項目が当該ポリシー設定項目による強制対象となると判定した場合（Ｓ８０５でＹｅｓの場合）、ポリシー変換部２０３は、Ｓ８０６に処理を進める。Ｓ８０６では、ポリシー変換部２０３は、ポリシー変換ルールに従って、当該ユーザモード設定項目の設定値とアクセス制御値を、ユーザモード強制データに追加し、Ｓ８０７に処理を進める。

一方、当該ユーザモード設定項目が当該ポリシー設定項目による強制対象とならないと判定した場合（Ｓ８０５でＮｏの場合）、ポリシー変換部２０３は、そのままＳ８０７に処理を進める。

Ｓ８０７では、ポリシー変換部２０３は、全てのユーザモード設定項目について当該ポリシー設定項目による強制対象の確認を完了したか否かを判定する。そして、まだ全てのユーザモード設定項目について強制対象の確認を完了していないと判定した場合（Ｓ８０７でＮｏの場合）、ポリシー変換部２０３は、Ｓ８０４に処理を戻し、次のユーザモード設定項目に処理を移す。

一方、ポリシー変換部２０３は、全てのユーザモード設定項目について強制対象の確認を完了したと判定した場合（Ｓ８０７でＹｅｓの場合）、ポリシー変換部２０３は、Ｓ８０８に処理を進める。

Ｓ８０８では、ポリシー変換部２０３は、全てのポリシー設定項目について強制対象の確認を完了したか否かを判定する。そして、まだ全てのポリシー設定項目について強制対象の確認を完了していないと判定した場合（Ｓ８０８でＮｏの場合）、ポリシー変換部２０３は、Ｓ８０２に処理を戻し、次のポリシー設定項目に処理を移す。

一方、ポリシー変換部２０３は、全てのポリシー設定項目について強制対象の確認を完了したと判定した場合（Ｓ８０８でＹｅｓの場合）、ポリシー変換部２０３は、Ｓ８０９に処理を進める。

Ｓ８０９では、ポリシー変換部２０３は、以上の処理により作成したユーザモード強制データを対象となる機器に送信するように、機器設定送信部２０４に指示を行って動作を完了する。
該指示を受けた、機器設定送信部２０４は、ポリシー変換部２０３が作成したユーザモード強制データを所定の通信方法を用いて、複合機１０１の機器設定受信部２１３に送信する。なお、通信方法は、ＨＴＴＰを用いた方法や、一般的なファイルを送信するプロトコルであればどのようなものでもよく、特に限定しない。

次に、複合機１０１内の動作を説明する。
図１１は、実施例１における、機器設定受信部２１３の動作を説明するためのフローチャートである。即ち、このフローチャート示す処理は、複合機１０１のＣＰＵ１０５が記憶装置１０７に保存されたプログラムコードをＲＡＭ１０６にロードする等して実行することにより実現される。なお、機器設定受信部２１３は、複合機１０１の起動とともに起動して動作を開始して本フローチャートの処理を開始し、以降、電源遮断まで動作を継続する。

まず、ステップＳ９０１において、機器設定受信部２１３は、ユーザモード強制データが送られて来たか否かを判定する。そして、送られて来ていないと判定したと判定した場合（Ｓ９０１でＮｏの場合）、機器設定受信部２１３は、再度Ｓ９０１の判定を行う。
一方、ユーザモード強制データが送られて来たと判定した場合（Ｓ９０１でＹｅｓの場合）、機器設定受信部２１３は、Ｓ９０２に処理を進める。Ｓ９０２では、機器設定受信部２１３は、ユーザモード強制データを取得し、Ｓ９０３に処理を進める。

Ｓ９０３では、機器設定受信部２１３は、上記Ｓ９０２で取得したユーザモード強制データから、ユーザモード設定項目の情報（例えば図７の７０１や７０４）を１つ取得し、Ｓ９０４に処理を進める。Ｓ９０４では、機器設定受信部２１３は、上記Ｓ９０３で取得したユーザモード設定項目の情報に有効な設定値があるか否かを判定する。ここで有効な設定とは、設定値に"−"以外のものを示す（例えば図７の７０２の設定値＝"ＯＮ"）。

そして、有効な設定値があると判定した場合（Ｓ９０４でＹｅｓの場合）、機器設定受信部２１３は、Ｓ９０５に処理を進める。Ｓ９０５では、機器設定受信部２１３は、上記Ｓ９０４で判定した有効な設定値を、機器設定格納部２１１に格納し、Ｓ９０６に処理を進める。
一方、上記Ｓ９０４において、有効な設定値がないと判定した場合（Ｓ９０４でＮｏの場合）、機器設定受信部２１３は、そのままＳ９０６に処理を進める。

Ｓ９０６では、機器設定受信部２１３は、上記Ｓ９０３で取得したユーザモード設定項目の情報に有効なアクセス制限値があるか否かを判定する。ここで有効なアクセス制御値とは設定値に"−"以外のものを示す（例えば図７の７０３のアクセス制御値＝"ＯＮ"や７０３のアクセス制御値＝"ＯＦＦ"）。

そして、有効なアクセス制限値があると判定した場合（Ｓ９０６でＹｅｓの場合）、機器設定受信部２１３は、Ｓ９０７に処理を進める。Ｓ９０７では、機器設定受信部２１３は、上記Ｓ９０６で判定した有効なアクセス制限値を、アクセス制御情報格納部２１４に格納し、Ｓ９０８に処理を進める。
一方、上記Ｓ９０６において、有効なアクセス制限値がないと判定した場合（Ｓ９０６でＮｏの場合）、機器設定受信部２１３は、そのままＳ９０８に処理を進める。

Ｓ９０８では、機器設定受信部２１３は、上記Ｓ９０２で取得したユーザモード強制データに、未処理のユーザモード設定項目がまだ残っているか否かを判定する。そして、未処理のユーザモード設定項目がまだあると判定した場合（Ｓ９０８でＹｅｓの場合）、機器設定受信部２１３は、Ｓ９０３に処理を戻し、次のユーザモード設定項目に処理を移す。

一方、未処理のユーザモード設定項目がないと判定した場合（Ｓ９０８でＮｏの場合）、機器設定受信部２１３は、Ｓ９０１に処理を戻し、次のユーザモード強制データが送られて来るまで待つ。

以上のように、複合機１０１の機器設定受信部２１３が、ＰＣ１２５で生成されたユーザモード強制データに含まれる設定値を機器設定格納部２１１に格納（設定）して設定値に基づく動作を可能にし、前記強制データに含まれる該設定値のアクセス制御値をアクセス制御情報格納部２１４に格納してアクセス制御値に基づく設定値の変更の禁止制御を可能にする、ユーザモード強制データの適用処理を行う。このように設定されたユーザモード設定項目の設定値は、該ユーザモード設定項目に対応する機能が利用される時に該設定値が反映された状態で動作が行われ、セキュリティ・ポリシーで守りたい各機能への制御に反映される。さらに、ユーザモード設定項目のアクセス制御値を設定することによって、そのユーザモード設定項目を変更することも不可能となる。次にアクセス制御値による制御について説明を行う。

図１２は、画面制御部２１２の動作を説明するフローチャートである。即ち、このフローチャート示す処理は、複合機１０１のＣＰＵ１０５が記憶装置１０７に保存されたプログラムコードをＲＡＭ１０６にロードする等して実行することにより実現される。なお、画面制御部２１２は複合機１０１の電源投入とともに動作を開始して本フローチャートの処理を開始し、以降、電源遮断まで動作を継続する。

まず、ステップＳ１００１において、画面制御部２１２は、ＵＩ操作部１０３からの操作により、いずれかのユーザモード設定項目の設定画面（ユーザモード設定画面）へ遷移するか否かを判定する。そして、ユーザモード設定画面へ遷移しないと判定した場合（Ｓ１００１でＮｏの場合）、画面制御部２１２は、再度Ｓ１００１の判定を行う。
一方、ユーザモード設定画面に遷移すると判定した場合（Ｓ１００１でＹｅｓの場合）、画面制御部２１２は、Ｓ１００２に処理を進める。

Ｓ１００２では、画面制御部２１２は、該遷移するユーザモード設定画面に対応するユーザモード設定項目の設定値を、機器設定格納部２１１から取得する。さらに、Ｓ１００３において、画面制御部２１２は、該遷移するユーザモード設定画面に対応するユーザモード設定項目のアクセス制御値を、アクセス制御情報格納部２１４から取得する。

次に、Ｓ１００４において、画面制御部２１２は、上記Ｓ１００３で取得したアクセス制御値に基づいてアクセス制御が設定されている（アクセス制御値＝"ＯＮ"である）か否かを判定する。そして、アクセス制御が設定されている（アクセス制御値＝"ＯＮ"である）と判定した場合（Ｓ１００４でＹｅｓの場合）、画面制御部２１２は、Ｓ１００５に処理を進める。Ｓ１００５では、画面制御部２１２は、当該ユーザモード設定画面を設定変更不可能状態で表示する（例えば後述する図１３のように表示）。

一方、上記Ｓ１００４において、アクセス制御が設定されていない（アクセス制御値＝"ＯＦＦ"である）と判定した場合（Ｓ１００４でＮｏの場合）、画面制御部２１２は、Ｓ１００６に処理を進める。Ｓ１００６では、画面制御部２１２は、当該ユーザモード設定画面を設定変更可能状態で表示する（例えば図４のように表示）。

上記Ｓ１００５又はＳ１００６でユーザモード設定画面を表示すると、画面制御部２１２は、該ユーザモード設定画面において、キャンセルボタンの押下の判定、及び、ＯＫボタンの押下の判定を行い、キャンセルボタン又はＯＫボタンが押下されるまで上記判定を繰り返す（Ｓ１００７〜１００８）。

そして、キャンセルボタンが押下されたと判定した場合（Ｓ１００７でＹｅｓの場合）、画面制御部２１２は、Ｓ１００１に処理を戻す。

そして、ＯＫルボタンが押下されたと判定した場合（Ｓ１００８でＹｅｓの場合）、画面制御部２１２は、Ｓ１００９に処理を遷移する。Ｓ１００９では、画面制御部２１２は、上記表示したユーザモード設定画面において選択された値によって、機器設定格納部２１１の値を更新し、Ｓ１００１に処理を遷移する。

図１３は、設定変更不可能状態の場合の画面制御部２１２が表示するユーザインタフェース画面の一例を示すＵＩ図である。
図１３では、ＯＫボタン１２０３が押下できない状態で画面が構成されているため、設定が変更できなくなっており、図１２でＳ１００９に遷移することがないため、設定変更を行うことができなくなっている。なお、設定変更不可能状態は、このようにＯＫボタンを押下できなくする方法の他に、設定値を選択できなくすることに等よっても可能であり、設定変更不可能状態の実現はこれらの方法に限定されるものではない。

以上で説明した通り、ＰＣ１２５側で、設定したセキュリティ・ポリシーに合致するユーザモード設定値と、該ユーザモード設定値の変更を不可とするアクセス制御値を含んだユーザモード強制データを生成して、複合機１０１に送信する。複合機１０１側では、ユーザモード強制データに基づいたユーザモード設定値とアクセス制御値とを複合機１０１に適用することにより、設定されたセキュリティ・ポリシーに反した複合機１０１の利用を防ぐことが可能となる。

上記実施例１においては、単一のセキュリティ・ポリシーのみの説明を行った。実際には、同一の複合機を複数の部門で使うことがあり得る。このような場合、部門によってセキュリティ・ポリシーが異なる場合があるので、その場合の構成を実施例２で説明する。

図１４は、実施例２における、ＰＣ１２５側にあるポリシー生成部２０１のユーザインタフェース画面を例示する図である。なお、図１４では、図７との差分だけを説明する。

図１４において、１５０１〜１５１０は、図７の５０１〜５１０と同様であるので説明は省略する。１５１１はグループ設定ボタンで、セキュリティ・ポリシーに紐づくグループを設定するためのものである。グループ設定ボタン１５１１を押下すると、ポリシーグループの設定画面１５１２に遷移し、セキュリティ・ポリシーの設定を行うグループの選択を行うことができる。

ポリシーグループの設定画面１５１２の例では、「グループＡ」を示すボタン１５１３が選択状態となっており、この状態で、ＯＫボタン１５１２ａを押下すると、トップ画面５０１に戻り、ネットワーク通信ポリシーボタン１５０２および認証ポリシーボタン１５０３が「グループＡ」に対するセキュリティ・ポリシーの設定を行うためのボタンとなる。

図１５は、実施例２におけるユーザモード強制データの書式を例示する模式図である。
図１５と図９との違いは、ユーザモード設定値に対する強制の設定が、グループ単位で記述されていることである。

例えば、"ＩＰＰ／ＳＳＬ"に関するユーザモード設定項目１３０１では、「グループＡ」に係わるものと「グループＢ」に係わるものがある。
「グループＡ」の場合は、１３０２のように設定値＝ＯＮ、１３０３のようにアクセス制御値＝"ＯＮ"と設定されている。一方、「グループＢ」の場合は、１３０４のように設定値＝"−"、１３０５のようにアクセス制御値＝"ＯＦＦ"と設定されている。このように、実施例２では、ポリシー生成側でグループ毎のポリシー設定を行うことが可能である。

次に、実際にグループ毎にセキュリティ・ポリシーを適用する場合の説明を行う。
図１６は、実施例２における、ＰＣ１２５及び複合機１０１におけるセキュリティ・ポリシーの制御に関連する機能の概略構成を示すブロック図である。なお、図１６では、図３と同一のものには同一の符号を付してある。

図１６では、複合機１０１の機能に、グループポリシー管理部２２０が追加されている。グループポリシー管理部２２０は、複合機１０１のＣＰＵ１０５が記憶装置１０７に保存されたプログラムコードをＲＡＭ１０６にロードする等して実行することにより実現される機能である。

なお、実施例２のポリシー変換部２０３は、図１５に示したようなユーザモード強制データを作成する。また、実施例２の機器設定受信部２１３は、図１５に示したようなユーザモード強制データを受信すると、記憶装置１０７に保存する。なお、実施例２の機器設定受信部２１３は、図１１に示したような動作は行わない。

グループポリシー管理部２２０は、記憶装置１０７から取得したユーザモード強制データから、ログイン中のユーザのグループ属性に対応するユーザモード設定項目の設定値、及び、アクセス制御値を取得し、機器設定格納部２１１、及び、アクセス制御情報格納部２１４に格納する。以下、フローチャートを用いて説明する。

図１７は、グループポリシー管理部２２０の動作を説明するためのフローチャートである。即ち、このフローチャート示す処理は、複合機１０１のＣＰＵ１０５が記憶装置１０７に保存されたプログラムコードをＲＡＭ１０６にロードする等して実行することにより実現される。なお、グループポリシー管理部２２０は、複合機１０１が起動したときに起動して動作を開始して本フローチャートの処理を開始し、以降電源遮断まで動作を続ける。

まず、ステップＳ１４０１において、グループポリシー管理部２２０は、不図示のログインモジュールに問い合わせ、ユーザがログインしたか否かを判定する。そして、ログインしていないと判定した場合（Ｓ１４０１でＮｏの場合）、グループポリシー管理部２２０は、再度Ｓ１４０１の判定を行う。

一方、ログインしたと判定した場合（Ｓ１４０１でＹｅｓの場合）、グループポリシー管理部２２０は、Ｓ１４０２に処理を進める。
Ｓ１４０２では、グループポリシー管理部２２０は、上記Ｓ１４０１でログインしたユーザのグループ属性を問い合わせる。グループ属性は、ユーザがアカウントを作成したときに定義され、記憶装置１０７等に格納されているものとする。

次に、Ｓ１４０３において、グループポリシー管理部２２０は、ユーザモード強制データを取得する。これは、機器設定受信部２１３がユーザモード強制データを受信した時に記憶装置１０７に保存されものを使用する。

次に、Ｓ１４０４において、グループポリシー管理部２２０は、上記Ｓ１４０３で取得したユーザモード強制データから、上記Ｓ１４０２で取得したグループ属性と、グループ属性が一致するユーザモード設定項目の情報（例えば設定値１３０２およびアクセス制御値１３０３）を１つ取得する。

例えば、図１５に示したユーザモード強制データで、「グループＡ」に属するユーザがログインしている場合を例に説明すると、"ＩＰＰ／ＳＳＬ"というユーザモード設定項目に関しては、設定値１３０２およびアクセス制御値１３０３、"ＳＳＬ／ＳＴＲＯＮＧ ＣＲＹＰＴＯ"というユーザモード設定項目に関しては、設定値１３０７およびアクセス制御値１３０８が取得の対象となる。

次に、Ｓ１４０５において、グループポリシー管理部２２０は、上記Ｓ１４０４で取得したユーザモード設定項目の情報に有効な設定値があるか否かを判定する。そして、有効な設定値があると判定した場合（Ｓ１４０５でＹｅｓの場合）、グループポリシー管理部２２０は、Ｓ１４０６に処理を進める。Ｓ１４０６では、グループポリシー管理部２２０は、上記Ｓ１４０４で取得した有効な設定値を機器設定格納部に格納し、Ｓ１４０７に処理を進める。

一方、有効な設定値がないと判定した場合（Ｓ１４０５でＮｏの場合）、グループポリシー管理部２２０は、そのままＳ１４０７に処理を進める。

Ｓ１４０７では、グループポリシー管理部２２０は、上記Ｓ１４０４で取得したユーザモード設定項目の情報に有効なアクセス設定値があるか否かを判定する。そして、有効なアクセス制御値があると判定した場合（Ｓ１４０７でＹｅｓの場合）、グループポリシー管理部２２０は、Ｓ１４０８に処理を進める。Ｓ１４０８では、グループポリシー管理部２２０は、上記Ｓ１４０８で取得した有効なアクセス制御値をアクセス制御情報格納部２１４に格納し、Ｓ１４０９に処理を進める。

一方、有効なアクセス制御値がないと判定した場合（Ｓ１４０７でＮｏの場合）、グループポリシー管理部２２０は、そのままＳ１４０９に処理を進める。

Ｓ１４０９では、グループポリシー管理部２２０は、上記Ｓ１４０３で取得したユーザモード強制データに、未処理のユーザモード設定項目が残っているか否かを判定する。そして、未処理のユーザモード設定項目がまだあると判定した場合（Ｓ１４０９でＹｅｓの場合）、グループポリシー管理部２２０は、Ｓ１４０４に処理を戻し、次のユーザモード設定の取得に処理を移行する。

一方、未処理のユーザモード設定項目が残っていないと判定した場合（Ｓ１４０９でＮｏの場合）、グループポリシー管理部２２０は、Ｓ１４０１に処理を戻し、次のユーザがログインするまで待つ。

実施例２によれば、複数の異なるセキュリティ・ポリシーを持つ場合でも、グループの概念によって、グループごとに、予めセキュリティ・ポリシーを設定しておき、ログイン時に当該ログインユーザのグループを識別することによって、該グループのセキュリティ・ポリシーに対応するユーザモード設定値とアクセス制御値を適用させることにより、複合機１０１にグループに応じたセキュリティ・ポリシーの適合が可能となる。

なお、上記説明では、グループポリシー管理部２２０が、ユーザのログインに応じて、記憶装置１０７に保存されたユーザモード強制データから、ログイン中のユーザのグループ属性に対応するユーザモード設定項目の設定値、及び、アクセス制御値を取得し、機器設定格納部２１１、及び、アクセス制御情報格納部２１４に格納する構成を説明した。
しかし、予め、グループポリシー管理部２２０が、ユーザモード強制データから、各ユーザのグループ属性ごとに、ユーザモード設定項目の設定値、及び、アクセス制御値を取得して記憶装置１０７に保存しておき、ユーザのログインに応じて、記憶装置１０７から、ログイン中のユーザに対応する、ユーザモード設定項目の設定値、及び、アクセス制御値を取得し、機器設定格納部２１１、及び、アクセス制御情報格納部２１４に格納するように構成してもよい。
また、グループ属性毎に機器設定格納部２１１、及び、アクセス制御情報格納部２１４を備える構成であってもよい。この構成の場合、予め、グループポリシー管理部２２０が、ユーザモード強制データから、各ユーザのグループ属性ごとに、ユーザモード設定項目の設定値、及び、アクセス制御値を取得して、グループ属性ごとの機器設定格納部２１１、及び、アクセス制御情報格納部２１４に格納しておく。そして、セキュリティ機能動作部２１５、及び、画面制御部２１２が、ログイン中のユーザに対応する、機器設定格納部２１１、及び、アクセス制御情報格納部２１４から、ユーザモード設定項目の設定値、及び、アクセス制御値を取得して、動作を制御するように構成してもよい。

また、ポリシー変換部２０３が、グループ属性ごとにユーザモード強制データを生成し、機器設定送信部２０４が該生成されたグループ属性ごとのユーザモード強制データを複合機１０１に送信してもよい。この構成の場合、グループポリシー管理部２２０が、ユーザのログインに応じて、記憶装置１０７に保存されたグループ属性ごとのユーザモード強制データから、ログイン中のユーザのグループ属性に対応するユーザモード強制データを取得して、該取得したユーザモード強制データを用いて適用処理を行うものとする。

一般に、セキュリティを保護する手段は複数ある場合があり、セキュリティ・ポリシーを実現するにはいずれかの手段を満たせばよい場合がある。その場合の制限について実施例３で述べる。例えば、通信経路の暗号化に際しては、ＯＳＩ７階層のうちのネットワーク層で実現するＩＰＳｅｃ（Ｓｅｃｕｒｉｔｙ Ａｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）と、トランスポート層で実現するＳＳＬ／ＴＬＳ（Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ／Ｔｒａｎｓｐｏｒｔ Ｌａｙｅｒ Ｓｅｃｕｒｉｔｙ）が存在しており、どちらか実現できていれば暗号化の目的は達成される。

図１８は、実施例３における、変換ルール格納部２０２に格納される、ポリシー設定項目と関連するユーザモード設定項目のポリシー変換ルールを論理的な構造として例示する図である。

図１８と図８との違いは、「ＩＰＳｅｃ印刷／ＳＳＬを使用する」および「ＳＭＴＰ／ＳＳＬを使用する」の２つのユーザモード設定項目に関して、ネットワーク通信ポリシーの「通信経路は暗号化を行う」が「はい」の時のルールに「除外：ＩＰＳｅｃ＝ＯＮ」を追加している点である。これは、ＩＰＳｅｃが"ＯＮ"の場合に、対応するユーザモード設定項目の強制を除外することを示している。このような除外条件に対応した実施例３の機器設定受信部２１３の動作について以下に説明する。

図１９は、実施例３の機器設定受信部の動作を説明するフローチャートである。
図１９と図１１との差分は、Ｓ１６０４において除外条件がなりたっているかどうかを確認する点である。なお、Ｓ１６０１〜Ｓ１６０３は、図１１のＳ９０１〜Ｓ９０３と同様の処理であるため、説明は省略する。なお、実施例３では、機器設定受信部２１３は、Ｓ１６０３において、ユーザモード強制データからユーザモード設定項目の情報を１つ取得すると、Ｓ１６０４に処理を進める。

Ｓ１６０４において、機器設定受信部２１３は、上記Ｓ１６０３で取得したユーザモード設定値に含まれる除外条件が成り立っているか否かを判定する。ここで除外条件が成り立っている場合とは、例えば、除外条件が"除外：ＩＰＳｅｃ＝ＯＮ"の場合、ユーザモード設定項目＝"ＩＰＳｅｃ"に"値＝ＯＮ"が設定されている場合が該当する。

そして、上記Ｓ１６０４において、除外条件が成り立っていると判定した場合（Ｓ１６０４でＹｅｓの場合）、機器設定受信部２１３は、そのままＳ１６０９に処理を進める。
一方、上記Ｓ１６０４において、除外条件が成り立っていないと判定した場合（Ｓ１６０４でＮｏの場合）、機器設定受信部２１３は、Ｓ１６０５に処理を進める。
なお、Ｓ１６０５〜Ｓ１６０９は、図１１のＳ９０４〜Ｓ９０８と同様の処理であるため、説明は省略する。

図１８に例示した除外条件によると、ＩＰＳｅｃが"ＯＮ"になっているかどうかを判定条件としている。本来、ネットワーク通信ポリシーの「通信経路は暗号化を行う」というポリシー設定項目の設定値が「はい」に設定されている場合には、ＩＰＰ印刷／ＳＳＬ設定を強制的に"ＯＮ"にしてアクセス制御をかける必要があるが、もし既に、ＩＰＳｅｃを使っている場合には、除外条件が成り立つため、「ＩＰＰ印刷／ＳＳＬを使用する」ユーザモード設定項目の変更が不要となる。また「ＳＭＴＰ／ＳＳＬを使用する」ユーザモード設定項目も同様に変更が不要となる。

実施例３によれば、セキュリティ・ポリシーを実現するセキュリティ関連のユーザモード設定項目が複数ある場合、いずれかの設定を行うだけでセキュリティ・ポリシーが実現するのであれば、いずれか片方だけ設定するだけでよく、管理者にユーザモード設定の自由度を高める効果がある。

以上示したように、本発明によれば、ＰＣ１２５側で、セキュリティ管理者が設定したセキュリティ・ポリシーに応じて、デバイスのユーザモードに対して、設定値を強制し、設定値を変更不可とするユーザモード強制データを複合機１０１等の機器に送信する。なお、ユーザモード強制データは、セキュリティ管理者の認証情報が付与される。複合機１０１の機器側では、上記ユーザモード強制データを受信し、ユーザモードに対する設定値の強制を行い、かつ、その設定値を変更不可とする。これによって、複合機１０１等の機器の管理者が不正／誤使用によってユーザモード書換えを行うことを未然に防ぐことが可能となり、機器に組織のセキュリティ・ポリシーを守らせるシステムを提供できる。
従って、セキュリティ・ポリシーに従うように機器の設定変更を強制的に行うことができ、さらに、セキュリティ・ポリシーに従った状態を維持させつつ、該状態を維持した範囲で設定値の変更を可能とする仕組みを提供することができる。

なお、上述した各種データの構成及びその内容はこれに限定されるものではなく、用途や目的に応じて、様々な構成や内容で構成されることは言うまでもない。
以上、一実施形態について示したが、本発明は、例えば、システム、装置、方法、プログラムもしくは記憶媒体等としての実施態様をとることが可能である。具体的には、複数の機器から構成されるシステムに適用しても良いし、また、一つの機器からなる装置に適用しても良い。
また、上記各実施例を組み合わせた構成も全て本発明に含まれるものである。

（他の実施例）
また、本発明は、以下の処理を実行することによっても実現される。即ち、上述した実施形態の機能を実現するソフトウェア（プログラム）を、ネットワーク又は各種記憶媒体を介してシステム或いは装置に供給し、そのシステム或いは装置のコンピュータ（またはＣＰＵやＭＰＵ等）がプログラムを読み出して実行する処理である。
また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。
本発明は上記実施例に限定されるものではなく、本発明の趣旨に基づき種々の変形（各実施例の有機的な組合せを含む）が可能であり、それらを本発明の範囲から除外するものではない。即ち、上述した各実施例及びその変形例を組み合わせた構成も全て本発明に含まれるものである。

１０１ 複合機
１２５ パーソナルコンピュータ（ＰＣ）
２０１ ポリシー生成部
２０２ 変換ルール格納部
２０３ ポリシー変換部
２０４ 機器設定送信部
２１１ 機器設定格納部
２１２ 画面制御部
２１３ 機器設定受信部
２１４ アクセス制御情報格納部

Claims (28)

1. セキュリティ・ポリシーを設定するための第１の情報処理装置と、前記第１の情報処理装置で設定されるセキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置を有する情報処理システムであって、
   前記第１の情報処理装置は、
   設定されるセキュリティ・ポリシーに基づいて、前記第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成する生成手段を有し、
   前記生成手段は、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成し、
   前記第２の情報処理装置は、
   前記第１の情報処理装置で生成された強制データに含まれる前記設定値を前記第２の情報処理装置に設定し、前記強制データに含まれる該設定値の制御情報に基づく該設定値の変更の禁止制御を可能にする適用処理を行う適用手段、を有し、
   前記適用手段は、前記設定値が指定されておらず前記制御情報が無効である旨を含む前記強制データを受信した場合、受信したことに伴う前記設定値の設定は行わず、かつ前記禁止制御を行わない
   ことを特徴とする情報処理システム。
2. 前記生成手段は、前記セキュリティ・ポリシーの設定値を、前記第２の情報処理装置の対応する１以上の設定値に変換することを特徴とする請求項１に記載の情報処理システム。
3. 前記生成手段は、前記セキュリティ・ポリシーの設定値を、前記第２の情報処理装置の機種に応じた変換ルールに基づいて、前記第２の情報処理装置の対応する１以上の設定値に変換することを特徴とする請求項２に記載の情報処理システム。
4. 前記第１の情報処理装置は、前記強制データを前記第２の情報処理装置に送信する送信手段を有し、
   前記第２の情報処理装置は、前記第１の情報処理装置から送信された前記強制データを受信する受信手段を有することを特徴とする請求項１乃至３のいずれか１項に記載の情報処理システム。
5. 前記適用手段は、前記強制データの入力があった場合に、前記適用処理を行うことを特徴とする請求項１乃至４のいずれか１項に記載の情報処理システム。
6. 前記生成手段は、前記第２の情報処理装置のユーザのグループ属性ごとのセキュリティ・ポリシーに基づいて、該グループ属性ごとに前記第２の情報処理装置の設定値と該設定値の制御情報とを含む、強制データを生成するものであり、
   前記適用手段は、前記強制データに含まれる、ログイン中のユーザのグループ属性に対応する前記設定値と前記制御情報とを適用処理することを特徴とする請求項１乃至４のいずれか１項に記載の情報処理システム。
7. 前記第２の情報処理装置は、前記強制データを保存する保存手段を有し、
   前記適用手段は、ユーザのログインに応じて、前記適用処理を行うことを特徴とする請求項６に記載の情報処理システム。
8. 前記生成手段は、前記第２の情報処理装置の前記設定値と、前記制御情報と、それらの適用を除外するための除外条件とを含む強制データを生成するものであり、
   前記適用手段は、前記強制データに含まれる除外条件を満たし場合、該除外条件に対応する設定値及び制御情報については、前記適用処理を行わないことを特徴とする請求項１乃至７のいずれか１項に記載の情報処理システム。
9. 前記第２の情報処理装置は、画像形成装置であることを特徴とする請求項１乃至７のいずれか１項に記載の情報処理システム。
10. 設定されるセキュリティ・ポリシーに基づいて、該セキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成する生成手段を有し、前記生成手段は、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成する第１の情報処理装置で設定されたセキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置であって、
    前記第１の情報処理装置で生成された強制データに含まれる前記設定値を前記第２の情報処理装置に設定し、前記強制データに含まれる該設定値の制御情報に基づく該設定値の変更の禁止制御を可能にする適用処理を行う適用手段、を有し、前記適用手段は、前記設定値が指定されておらず前記制御情報が無効である旨を含む前記強制データを受信した場合、受信したことに伴う前記設定値の設定は行わず、かつ前記禁止制御を行わない
    ことを特徴とする第２の情報処理装置。
11. 前記強制データは、前記セキュリティ・ポリシーの設定値を、前記第２の情報処理装置の対応する１以上の設定値に変換することにより生成されたものであることを特徴とする請求項１０に記載の第２の情報処理装置。
12. 前記強制データは、前記セキュリティ・ポリシーの設定値を、前記第２の情報処理装置の機種に応じた変換ルールに基づいて、前記第２の情報処理装置の対応する１以上の設定値に変換することにより生成されたものであることを特徴とする請求項１１に記載の第２の情報処理装置。
13. 前記第１の情報処理装置から送信された前記強制データを受信する受信手段を有することを特徴とする請求項１０乃至１２のいずれか１項に記載の第２の情報処理装置。
14. 前記適用手段は、前記強制データの入力があった場合に、前記適用処理を行うことを特徴とする請求項１０乃至１３のいずれか１項に記載の第２の情報処理装置。
15. 前記強制データは、前記第２の情報処理装置のユーザのグループ属性ごとのセキュリティ・ポリシーに基づいて生成された、該グループ属性ごとの前記第２の情報処理装置の設定値と該設定値の制御情報とを含むものであり、
    前記適用手段は、前記強制データに含まれる、ログイン中のユーザのグループ属性に対応する前記設定値および前記制御情報を適用処理することを特徴とする請求項１０乃至１３のいずれか１項に記載の第２の情報処理装置。
16. 前記強制データを保存する保存手段を有し、
    前記適用手段は、ユーザのログインに応じて、前記保存手段に保存されている強制データを用いて、前記適用処理を行うことを特徴とする請求項１５に記載の第２の情報処理装置。
17. 前記強制データは、前記第２の情報処理装置の前記設定値と、前記制御情報と、それらの適用を除外するための除外条件とを含むものであり、
    前記適用手段は、前記強制データに含まれる除外条件を満たした場合、該除外条件に対応する設定値及び制御情報については、前記適用処理を行わないことを特徴とする請求項１０乃至１６のいずれか１項に記載の第２の情報処理装置。
18. 請求項１０に記載の第２の情報処理装置を対象としたセキュリティ・ポリシーを設定するための第１の情報処理装置であって、
    設定されるセキュリティ・ポリシーに基づいて、該セキュリティ・ポリシーによる機能制限の対象となる前記第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成し、前記生成手段は、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成することを特徴とする第１の情報処理装置。
19. 前記生成手段は、前記セキュリティ・ポリシーの設定値を、前記第２の情報処理装置の対応する１以上の設定値に変換することを特徴とする請求項１８に記載の第１の情報処理装置。
20. 前記生成手段は、前記セキュリティ・ポリシーの設定値を、前記第２の情報処理装置の機種に応じた変換ルールに基づいて、前記第２の情報処理装置の対応する１以上の設定値に変換することを特徴とする請求項１９に記載の第１の情報処理装置。
21. 前記強制データを前記第２の情報処理装置に送信する送信手段を有することを特徴とする請求項１８乃至２０のいずれか１項に記載の第１の情報処理装置。
22. 前記生成手段は、前記第２の情報処理装置のユーザのグループ属性ごとのセキュリティ・ポリシーに基づいて、該グループ属性ごとに前記第２の情報処理装置の設定値と該設定値の制御情報とを含む、強制データを生成することを特徴とする請求項１８乃至２１のいずれか１項に記載の第１の情報処理装置。
23. 前記生成手段は、前記第２の情報処理装置の前記設定値と、前記制御情報と、それらの適用を除外するための除外条件とを含む強制データを生成することを特徴とする請求項１８乃至２２のいずれか１項に記載の第１の情報処理装置。
24. セキュリティ・ポリシーを設定するための第１の情報処理装置と、前記第１の情報処理装置で設定されるセキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置を有する情報処理システムの制御方法であって、
    前記第１の情報処理装置が実行する、
    設定されるセキュリティ・ポリシーに基づいて、前記第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成する生成ステップを有し、
    前記生成ステップは、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成し、
    前記第２の情報処理装置が実行する、
    前記第１の情報処理装置で生成された強制データに含まれる前記設定値を前記第２の情報処理装置に設定し、前記強制データに含まれる該設定値の制御情報に基づく該設定値の変更の禁止制御を可能にする適用処理を行う適用ステップと、を有し、
    前記適用ステップは、前記設定値が指定されておらず前記制御情報が無効である旨を含む前記強制データを受信した場合、受信したことに伴う前記設定値の設定は行わず、かつ前記禁止制御を行わない
    ことを特徴とする情報処理システムの制御方法。
25. 設定されるセキュリティ・ポリシーに基づいて、該セキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成する生成手段を有し、前記生成手段は、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成する第１の情報処理装置で設定されたセキュリティ・ポリシーによる機能制限の対象となる第２の情報処理装置の制御方法であって、
    前記第１の情報処理装置で生成された強制データに含まれる前記設定値を前記第２の情報処理装置に設定し、前記強制データに含まれる該設定値の制御情報に基づく該設定値の変更の禁止制御を可能にする適用処理を行う適用ステップを有し、前記適用ステップは、前記設定値が指定されておらず前記制御情報が無効である旨を含む前記強制データを受信した場合、受信したことに伴う前記設定値の設定は行わず、かつ前記禁止制御を行わない
    ことを特徴とする第２の情報処理装置の制御方法。
26. 請求項２５に記載の第２の情報処理装置を対象としたセキュリティ・ポリシーを設定するための第１の情報処理装置の制御方法であって、
    設定されるセキュリティ・ポリシーに基づいて、該セキュリティ・ポリシーによる機能制限の対象となる前記第２の情報処理装置の動作を決定する設定値と、前記第２の情報処理装置において該設定値の変更の禁止を制御するための制御情報とを含む強制データを生成し、前記生成手段は、前記セキュリティ・ポリシーが無効化された状態であった場合、前記設定値を指定せずに前記制御情報が無効である旨を含む前記強制データを生成する生成ステップを有することを特徴とする第１の情報処理装置の制御方法。
27. コンピュータを、請求項１０乃至１７のいずれか１項に記載の各手段として機能させるためのプログラム。
28. コンピュータを、請求項１８乃至２３のいずれか１項に記載の各手段として機能させるためのプログラム。

Images