JP7059733B2 - 情報処理装置、方法及びプログラム - Google Patents

Description

本発明は、情報処理装置、方法及びプログラムに関する。

特許文献１には、クライアント装置からのデータの要求に応じてサーバ装置から対応するデータを受信し、このデータの改竄（つまり、データの不正な状態）が検知された場合には、クライアント装置に向けてデータを送信する代わりに、ＨＴＴＰのステータスコードを提示する装置が開示されている。

特開２００３－０８７２４３号公報

ところが、特許文献１に開示される装置では、データを要求したユーザは、クライアント装置を介してステータスコードを受け取った後、セキュリティ状態を改善すべくどのように対策したらよいか理解できないことがある。その結果、セキュリティ状態を改善するための対策が遅れ、この問題を解決するまでに時間が掛かってしまう。

本発明の目的は、データの要求に応じてステータスコードを提示する場合と比べて、データの不正な状態をより早く解消する情報処理装置、方法及びプログラムを提供することを目的とする。

請求項１に記載の発明は、１つ又は複数の外部装置からデータを受信する受信手段と、前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、を備え、前記通知手段は、前記外部装置におけるセキュリティの設定権限を有する者、及び、前記外部装置におけるセキュリティの管理権限を有する者、のうちの少なくともいずれかに通知する情報処理装置である。

請求項２に記載の発明は、１つ又は複数の外部装置からデータを受信する受信手段と、
前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、を備え、前記通知手段は、前記検証結果に応じて異なる通知先に通知する、情報処理装置である。

請求項３に記載の発明は、前記通知手段は、前記変更の妥当性が検証されなかった旨の前記検証結果を第１通知先に少なくとも１回通知した後に前記変更の妥当性がさらに検証されなかった場合、前記第１通知先とは異なる第２通知先に前記検証結果を通知する、請求項２に記載の情報処理装置である。

請求項４に記載の発明は、１つ又は複数の外部装置からデータを受信する受信手段と、
前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、を備え、前記通知手段は、通知先への通知により設定された時間内に前記変更がなかった場合、前記通知先に再通知する、情報処理装置である。

請求項５に記載の発明は、１つ又は複数の外部装置からデータを受信する受信手段と、
前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、前記不正な状態が検知された場合、前記外部装置に対して同一のデータの再送信を要求する再送要求手段と、を備え、前記通知手段は、複数回連続して受信したデータのいずれにも不正な状態が検知された場合に初めて外部に通知する、情報処理装置である。

請求項６に記載の発明は、１つ又は複数の外部装置からデータを受信する受信ステップと、前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知ステップと、を１つ又は複数のコンピュータが実行する情報処理方法であって、前記通知ステップでは、前記外部装置におけるセキュリティの設定権限を有する者、及び、前記外部装置におけるセキュリティの管理権限を有する者、のうちの少なくともいずれかに通知することを特徴とする情報処理方法である。

請求項７に記載の発明は、１つ又は複数の外部装置からデータを受信する受信ステップと、前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知ステップと、を１つ又は複数のコンピュータに実行させる情報処理プログラムであって、前記通知ステップでは、前記外部装置におけるセキュリティの設定権限を有する者、及び、前記外部装置におけるセキュリティの管理権限を有する者、のうちの少なくともいずれかに通知することを特徴とする情報処理プログラムである。

請求項１，６，７に記載の発明によれば、データの要求に応じてステータスコードを提示する場合と比べて、データの不正な状態がより早く解消されると共に、セキュリティ状態の改善を要望する当事者に対して直に通知される。
請求項２に記載の発明によれば、検証結果に応じて適した通知先に通知される。
請求項３に記載の発明によれば、引き続き同一の者（第１通知先）が関与してセキュリティ状態の変更を行う場合と比べて、データの不正な状態がより早く解消される可能性が高まる。
請求項４に記載の発明によれば、再通知を通じて、セキュリティ状態の速やかな変更が適時に促される。
請求項５に記載の発明によれば、複数回の再送信を通じてデータの送受信が成功するような状況の下で、データの不正な状態が誤って検知されることを防ぐ。

各々の実施形態に共通する情報処理システムの全体構成図である。 第１実施形態における情報処理システムの運用例を示す概略図である。 第１実施形態における画像形成装置の要部を示す機能ブロック図である。 第１実施形態における情報処理システムの動作の一例を示すフローチャートである。 第１実施形態における情報処理システムの動作を示すシーケンス図である。 図６（ａ）（ｂ）は、図３の通知設定テーブルの一例を示す図である。 第２実施形態における情報処理システムの運用例を示す概略図である。 第２実施形態における情報処理システムの動作の一例を示すフローチャートである。 第２実施形態における情報処理システムの動作を示すシーケンス図である。 第３実施形態における情報処理システムの運用例を示す概略図である。 第３実施形態における画像形成装置の要部を示す機能ブロック図である。 第３実施形態における情報処理システムの動作の一例を示すシーケンス図である。 図１１の通知設定テーブルの一例を示す図である。 第４実施形態における画像形成装置の要部を示す機能ブロック図である。 第４実施形態における情報処理システムの動作の一例を示すフローチャートである。 第４実施形態における情報処理システムの動作の一例を示すシーケンス図である。

以下、本発明に係る情報処理装置について、情報処理方法及び情報処理プログラムとの関係において好適な実施形態を挙げ、添付の図面を参照しながら説明する。

［情報処理システム１０の全体構成］
図１は、各々の実施形態に共通する情報処理システム１０の全体構成図である。なお、このシステムは、本図に例示する装置構成又はネットワーク構成に限られない。

情報処理システム１０は、後述する画像形成装置１２を用いて所望の情報処理を行うことで、オフィス業務を支援するシステムである。具体的には、情報処理システム１０は、画像形成装置１２（情報処理装置）と、ユーザ端末１４と、無線アクセスポイントとして機能する中継機器１５と、携帯端末１６と、ネットワークプリンタ１７と、管理者端末１８と、情報管理サーバ２０と、を含んで構成される。

画像形成装置１２は、給紙／排紙ユニット２１と、プリントユニット２２と、後処理ユニット２３と、読取ユニット２４と、通信ユニット２５と、ユーザインターフェースユニット（以下、ＵＩユニット２６）と、制御ユニット３０と、を含んで構成される。

給紙／排紙ユニット２１は、画像を形成しようとする記録媒体を供給するとともに、画像が形成された記録媒体を排出するユニットである。プリントユニット２２は、例えば、電子写真方式又はインクジェット方式を用いて、記録媒体にプリント処理を行うユニットである。後処理ユニット２３は、例えば、紙折り処理、綴じ処理、パンチ処理を含む後処理を行うユニットである。

読取ユニット２４は、記録媒体上に形成された画像を読み取るユニットである。通信ユニット２５は、外部装置（例えば、情報管理サーバ２０）との間で通信処理を行うユニットである。ＵＩユニット２６は、ハードウェアボタン又はタッチパネルを介して、ユーザによる入力操作（セキュリティ状態の設定操作を含む）を受付可能に構成されるユニットである。

制御ユニット３０は、プロセッサ３２及びメモリ３４を含んで構成されており、画像形成装置１２を構成する各部を統括的に制御するユニットである。制御ユニット３０の制御を通じて、画像形成装置１２は、プリンタ機能、コピー機能、スキャン機能、ファクシミリ機能、及びデータ送信機能のうち少なくとも１つの機能を実現する。

プロセッサ３２は、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）を含む処理演算装置である。メモリ３４は、非一過性であり、かつコンピュータ読み取り可能な記憶媒体である。ここで、コンピュータ読み取り可能な記憶媒体は、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ、フラッシュメモリ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。

画像形成装置１２を含む各種装置は、オフィス内に構築されたネットワークＮＷを介して相互に接続されている。これにより、画像形成装置１２は、情報処理システム１０内のＩｏＴ（Internet of Things）デバイス３６から送信される大量のデータ（いわゆるビッグデータ）を収集・管理することができる。本図の例では、ＩｏＴデバイス３６は、ユーザ端末１４、中継機器１５、携帯端末１６及びネットワークプリンタ１７に相当する。

携帯端末１６は、端末所有者Ｏｗが携行しながら使用可能な多機能・多目的装置であり、具体的には、タブレット、スマートフォン又はウェアラブルコンピュータである。管理者端末１８は、画像形成装置１２の機械管理者Ａｄが使用するコンピュータ（例えば、ＰＣ;Personal Computer）である。なお、機械管理者Ａｄは、画像形成装置１２の管理者であると共に、セキュリティの設定権限又は管理権限を有する者である。

情報管理サーバ２０は、画像形成装置１２の情報処理に関連する様々な処理を実行可能に構成されるコンピュータである。また、情報管理サーバ２０は、画像形成装置１２の運用に関して必要な情報（例えば、ユーザ情報、セキュリティ情報、データ管理情報）を記憶しておき、画像形成装置１２からの要求に応じてこの情報を適時に提供してもよい。

［第１実施形態］
まず、第１実施形態における情報処理システム１０Ａについて、図２～図６を参照しながら説明する。

＜運用例及び構成＞
図２は、第１実施形態における情報処理システム１０Ａの運用例を示す概略図である。ここでは、ＩｏＴデバイス３６、画像形成装置１２Ａ、及び機械管理者Ａｄの三者が、主要な当事者として関与する場合を想定する。例えば、画像形成装置１２Ａは、ＩｏＴデバイス３６から収集したデータが「不正な状態」である（例えば、改竄がなされている）ことを検知した場合、そのデータの処理を一時的に保留して改竄があった旨を機械管理者Ａｄに通知する（第１通知）。ここで、「不正な状態」とは、情報セキュリティの構成要素（具体的には、情報の機密性、完全性、可用性、責任追跡性、真正性、及び信頼性のうちの少なくとも１つ）が損なわれた状態又は損なわれるおそれがある状態をいう。

そして、通知を受けた機械管理者Ａｄは、情報処理システム１０Ａを点検し、この改竄の問題を解決するための適切なセキュリティ対策を講じる。その後、画像形成装置１２Ａは、再収集したデータの処理を再開するとともに、改竄の問題が解決した旨を機械管理者Ａｄに通知する（第２通知）。

図３は、第１実施形態における画像形成装置１２Ａの要部を示す機能ブロック図である。この画像形成装置１２Ａは、データ受信部４０（受信手段）と、データ処理部４２（処理手段）と、不正検知部４４と、検知情報記録部４６と、データ送信部４８と、通知制御部５０（通知情報生成部５２及び通知設定部５４を含む）と、を備える。ここで、データ送信部４８及び通知制御部５０は、ＩｏＴデバイス３６から受信したデータの検知結果に関する各種情報を外部に通知する通知手段５６として機能する。

＜画像形成装置１２Ａの動作＞
続いて、図３に示す画像形成装置１２Ａの動作について、図４のフローチャート及び図５のシーケンス図を参照しながら説明する。

ステップＳ０１において、画像形成装置１２Ａのデータ受信部４０は、定期的又は不定期に、ＩｏＴデバイス３６に対してデータの送信を要求する。そして、データ受信部４０は、ＩｏＴデバイス３６から送信されたデータを、ネットワークＮＷを介して受信する。このデータには、コンテンツを示すコンテンツデータのみならず、ネットワークＮＷに接続された機器の通信状態又は機器同士の通信履歴を示す通信ログデータも含まれる。

ステップＳ０２において、画像形成装置１２Ａの不正検知部４４は、ステップＳ０１で受信したデータを解析し、データの不正な状態を示す特定の事象（以下、単に「イベント」という）の有無を検知する。具体的には、不正検知部４４は、様々な情報セキュリティ技術を用いて、改竄、盗聴、なりすまし、不正侵入、情報漏洩を含む各種イベントを検知する。改竄の検知技術として、具体的には、ディジタル署名、ＨＭＡＣ（Hash-based Message Authentication Code）、公開鍵暗号、予め定めた共通鍵による復号化、が挙げられる。

ステップＳ０３において、不正検知部４４は、ステップＳ０２の検知結果に基づいて、受信したデータから１つ又は複数のイベントを検知したか否かを判定する。例えば、不正検知部４４は、中継機器１５（図１及び図３）から送信されたデータが改竄されている場合、イベントが検知されたと判定する（Ｓ０３：検知あり）。

ステップＳ０４において、画像形成装置１２Ａの検知情報記録部４６は、ステップＳ０３で検知されたイベントの発生原因を特定可能な情報を記録する。例えば、検知情報記録部４６は、少なくとも、受信時刻、イベントの種類、ＩｏＴデバイス３６の識別情報、及びデータの送信元（例えば、ＩＰアドレス、ホスト名）を対応付けて「イベント検知情報」として記録する。

ステップＳ０５において、画像形成装置１２Ａの通知手段５６は、ステップＳ０３（１回目）でイベントが検知された旨を外部に通知する。この通知に先立ち、通知情報生成部５２は、イベント検知情報を含む通知情報（通知メールの文面）を生成する。この通知情報には、例えば、受信時刻、イベントの種類、データの送信元が含まれる。データ送信部４８は、通知設定部５４により静的に設定された通知先（ここでは、予め登録されている機械管理者Ａｄのメールアドレス）に対して、通知情報生成部５２により生成された通知情報を含む通知メールを送信する。

その結果、機械管理者Ａｄは、管理者端末１８を介して、データの不正な状態が検知された旨の通知（第１通知）を受け取る。通知を受けた者（つまり、機械管理者Ａｄ）は、通知メールが示す通知内容（例えば、メッセージ）を手掛かりとして、中継機器１５の周辺にてデータの改竄が発生したことを速やかに把握する。

ステップＳ０６において、機械管理者Ａｄは、中継機器１５を中心とする情報処理システム１０Ａの点検を行った後、セキュリティ状態を改善するためのセキュリティ対策（暫定策又は恒久策のいずれか）を施す。このセキュリティ対策は、ＩｏＴデバイス３６（又はデータ処理部４２）のセキュリティ状態の変更を伴う対策であり、具体的な例として、ファイアウォールの設定変更、ネットワーク機器の交換・追加、セキュリティスキャンの実行が挙げられる。

ステップＳ０７において、機械管理者Ａｄは、ＵＩユニット２６又は情報管理サーバ２０（図１）を介して、データの受信を再開する旨の指示操作を行う。そうすると、データ受信部４０は、機械管理者Ａｄの操作を受け付けた後、ＩｏＴデバイス３６に対してデータの送信を要求する。

ステップＳ０１に戻って、データ受信部４０は、ネットワークＮＷを介してＩｏＴデバイス３６からデータを再び受信する。ステップＳ０６にて適切なセキュリティ対策が施されている場合、不正検知部４４は、今回受信したデータからイベントが検知されなかったと判定する（ステップＳ０３：検知なし）。

ステップＳ０８において、不正検知部４４は、検知情報記録部４６に記録されているイベント検知情報を用いて、同一の送信元における過去の検知結果（ここでは、前回受信時の検知結果）を探索する。

ステップＳ０９において、不正検知部４４は、前回の受信時にイベントを検知したか否かを確認する。イベントが検知されていた場合（ステップＳ０９：検知あり）、ステップＳ１０に進む。

ステップＳ１０において、通知手段５６は、ＩｏＴデバイス３６のセキュリティ状態の変更の妥当性を検証した結果（以下、検証結果）を外部に通知する。具体的には、通知手段５６は、機械管理者Ａｄによるセキュリティ対策（セキュリティ状態の変更）は妥当であって、ステップＳ０３（２回目）でイベントが検知されなくなった旨を機械管理者Ａｄに通知する。

この通知に先立ち、通知情報生成部５２は、イベントに関連する情報を含む通知情報（通知メールの文面）を生成する。データ送信部４８は、第１通知の場合と同一の通知先（ここでは、機械管理者Ａｄのメールアドレス）に対して、通知情報生成部５２により生成された通知情報を含む通知メールを送信する。

その結果、機械管理者Ａｄは、管理者端末１８を介して、データの不正な状態が検知されなかった旨の通知（第２通知）を受け取る。通知を受けた者（つまり、機械管理者Ａｄ）は、通知メールが示す通知内容を手掛かりとして、自身が施したセキュリティ対策によりセキュリティ状態が改善したことを速やかに把握する。

ステップＳ１１において、画像形成装置１２Ａのデータ処理部４２は、ステップＳ０１で受信したデータに応じた処理を行う。このデータが文書データである場合、データ処理部４２は、文書データに基づいて記録媒体上にプリントするプリント処理（プリントユニット２２）を行うか、あるいは文書データを外部に送信する送信処理（通信ユニット２５）を行う。また、このデータが通信ログデータである場合、データ処理部４２は、データベース処理、解析・分析処理、学習処理を含む様々な加工処理を行う。

ステップＳ０９に戻って、イベントが検知されていない場合（ステップＳ０９：検知なし）、ステップＳ１０（第２通知）の実行を省略した状態で、データ処理部４２は、ステップＳ０１で受信したデータに応じた処理を行う（ステップＳ１１）。

ところで、図５に示すシーケンス図では、１回の対策のみでセキュリティ状態が改善しているが、１回の対策のみではセキュリティ状態が改善されない事態も起こり得る。この場合、前回検知したイベントと同一の又は異なるイベントが検知され（ステップＳ０３：検知あり）、ステップＳ０４に進み、以下、ステップＳ０１～Ｓ０７を順次繰り返す。

ステップＳ０５において、通知手段５６は、ＩｏＴデバイス３６のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する。具体的には、通知手段５６は、機械管理者Ａｄによるセキュリティ対策（セキュリティ状態の変更）は妥当でなく、２回目のステップＳ０３にてイベントが再度検知された旨を機械管理者Ａｄに通知する。

その結果、機械管理者Ａｄは、管理者端末１８を介して、データの不正な状態が検知された旨の通知（第２通知）を受け取る。通知を受けた機械管理者Ａｄは、通知メールが示す通知内容を手掛かりとして、データの改竄が解消されていないことを速やかに把握し、他のセキュリティ対策を講じる。この動作を繰り返すことで、最終的にはＩｏＴデバイス３６のセキュリティ状態が改善される。

ところで、通知手段５６（通知設定部５４）は、設定情報を格納する第１のテーブル（以下、通知設定テーブルＴ１）を参照し、通知に関する様々なカスタム設定を行ってもよい。以下、図３に示す通知設定テーブルＴ１の具体例について、図６（ａ）（ｂ）を参照しながら説明する。

図６（ａ）は、イベントに関する設定を記述するテーブルの一例を示す図である。この通知設定テーブルＴ１は、イベントの種類、検知方法、取得情報、及び重要度の間の対応関係を示している。「種類」には、例えば、改竄、盗聴、なりすまし、不正侵入、情報漏洩が挙げられる。「検知方法」には、アルゴリズム・手法の他、不正の状態であるか否かを識別するための成立条件も含まれる。「取得情報」は、上記したイベント検知情報に含まれる情報の種類を示す。「重要度」とは、情報処理システム１０Ａへの影響の大きさ、又は、セキュリティ対策を講じる緊急性の高さを意味する。

図６（ｂ）は、通知に関する設定を記述するテーブルの一例を示す図である。この通知設定テーブルＴ１は、重要度、通知タイミング、通知内容、及び通知先の間の対応関係を示している。「重要度」は、イベントの重要度と同様に定義され、ここでは３段階のレベル（高・中・低）が設けられている。「通知タイミング」には、例えば、イベントを検知した度に即時に通知する「逐次処理」、即時に通知せずに毎日定刻に一括通知する「バッチ処理」が挙げられる。「通知内容」には、通知内容の情報量の他、具体的な項目が含まれてもよい。「通知先」には、例えば、ＩＰアドレス、ホスト名が挙げられる。

この通知設定テーブルＴ１を用いることで、通知のカスタマイズが行われる。これにより、例えば、通知手段５６は、予め定めた時間おき（例えば、日毎の指定時刻）に複数の通知内容をまとめて通知し、あるいは、優先度の高いイベントほど相対的に高い頻度で通知することができる。

＜画像形成装置１２Ａによる効果＞
以上のように、第１実施形態における情報処理装置としての画像形成装置１２Ａは、［１］１つ又は複数のＩｏＴデバイス３６（外部装置）からデータを受信するデータ受信部４０（受信手段）と、［２］ＩｏＴデバイス３６から受信したデータの不正な状態が検知された旨を外部に通知するとともに、ＩｏＴデバイス３６のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段５６と、を備える。

また、第１実施形態における情報処理方法及びプログラムによれば、［１］データを受信する受信ステップ（Ｓ０１）と、［２］データの不正な状態が検知された旨を外部に通知するとともに、セキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知ステップ（Ｓ０５、Ｓ１０）と、を１つ又は複数のコンピュータが実行する。

このように、データの不正な状態が検知された旨のみならず、セキュリティ状態の変更の妥当性に関する検証結果を通知することで、通知を受けた者は、セキュリティ状態の変更及びその効果を関連付けて把握することができる。これにより、データの要求に応じてステータスコードを提示する場合と比べて、データの不正な状態がより早く解消することができる。

また、通知手段５６は、データの不正な状態が検知された旨（第１通知）、及び、データの不正な状態が検知されなくなった旨（第２通知）を同一の通知先に通知してもよい。つまり、セキュリティ上の問題が発生した旨及びその問題が解決した旨が同一の通知先に通知されるので、一連の通知を受けた者は、セキュリティ対策の前後にわたる状況の変化を把握することができる。

また、通知手段５６は、セキュリティの設定権限又は管理権限を有する者（例えば、機械管理者Ａｄ）に通知してもよい。セキュリティ状態の改善を要望する当事者（ここでは、運用・保守業務の従事者）に対して直に通知されるので、当事者を通じて適切なセキュリティ対策が速やかに講じられる。

［第２実施形態］
続いて、第２実施形態における情報処理システム１０Ｂについて、図３及び図７～図９を参照しながら説明する。なお、第１実施形態と同一の構成及び機能については、同じ参照符号を付するとともに、その説明を省略する場合がある。

＜運用例及び構成＞
図７は、第２実施形態における情報処理システム１０Ｂの運用例を示す概略図である。ここでは、ＩｏＴデバイス３６、画像形成装置１２Ｂ、通知対象者の三者が、主要な当事者として関与する場合を想定する。例えば、画像形成装置１２Ｂは、ＩｏＴデバイス３６から収集したデータが不正な状態である（例えば、改竄がなされている）ことを検知した場合、そのデータの処理を一時的に保留して改竄があった旨を、通知対象者である端末所有者Ｏｗ又は機械管理者Ａｄに通知する（第１通知）。通知対象者は、情報処理システム１０Ｂを点検し、改竄の問題を解決するための適切なセキュリティ対策を講じる。その後、画像形成装置１２Ｂは、再収集したデータの処理を再開するとともに、改竄の問題が解決した旨を同一の通知対象者に通知する（第２通知）。

図３に示すように、画像形成装置１２Ｂは、第１実施形態（画像形成装置１２Ａ）と同様に、データ受信部４０と、データ処理部４２と、不正検知部４４と、検知情報記録部４６と、データ送信部４８と、通知制御部５０と、を備える。ただし、通知手段６０は、第１実施形態（通知手段５６）とは異なる動作を行う点に留意する。

＜画像形成装置１２Ｂの動作＞
続いて、図３に示す画像形成装置１２Ｂの動作（主に、第２実施形態に特有の動作）について、図８のフローチャート及び図９のシーケンス図を参照しながら説明する。なお、第１実施形態の場合と実質的に同じ動作を伴うステップに関しては、その説明を省略する場合がある。

ステップＳ２１～Ｓ２４は、図３及び図４のステップＳ０１～Ｓ０４にそれぞれ対応する。以下、携帯端末１６（図１及び図７）から送信されたデータが改竄されており、特定のイベントが検知された場合（Ｓ２３：検知あり）を想定する。

ステップＳ２５において、画像形成装置１２Ｂの通知設定部５４は、ステップＳ２４で記録されたイベント検知情報を読み出し、データの送信元に紐付けられるメールアドレスを取得する。ここで、通知設定部５４は、［１］イベント検知情報に含まれるメールアドレスを直接的に抽出してもよいし、［２］予め管理・登録されているアドレス帳を参照することで、イベント検知情報から抽出したユーザ情報に対応するメールアドレスを取得してもよい。

ステップＳ２６において、通知設定部５４は、ステップＳ２５にて送信元（つまり、端末所有者Ｏｗ）のメールアドレスを取得できたか否かを判定する。そして、通知設定部５４は、メールアドレスを取得できた場合（ステップＳ２６：ＹＥＳ）、メールアドレスにて特定される「端末所有者Ｏｗ」を通知先として設定する（ステップＳ２７ｏ）。一方、通知設定部５４は、メールアドレスを取得できなかった場合（ステップＳ２６：ＮＯ）、メールアドレスが既知である「機械管理者Ａｄ」を通知先として設定する（ステップＳ２７ａ）。

ステップＳ２８において、画像形成装置１２Ｂの通知手段６０は、ステップＳ２７ｏ（Ｓ２７ａ）で設定された通知先に対して、ステップＳ２３（１回目）でイベントが検知された旨を通知する。具体的には、データ送信部４８は、通知設定部５４により動的に設定された通知先に対して、通知情報生成部５２により生成された通知情報を含む通知メールを送信する。

例えば、端末所有者Ｏｗは、携帯端末１６を介して、データの不正な状態が検知された旨の通知（第１通知）を受け取る。通知を受けた者（つまり、端末所有者Ｏｗ）は、通知メールが示す通知内容を手掛かりとして、携帯端末１６の周辺にてデータの改竄が発生したことを速やかに把握する。

ステップＳ２９において、端末所有者Ｏｗは、携帯端末１６を中心とする情報処理システム１０Ｂの点検を行った後、セキュリティ状態を改善するためのセキュリティ対策を施す。具体的な対策として、例えば、セキュリティスキャンの実行、又はネットワーク設定の変更（より高いセキュリティレベルに移行）が挙げられる。

ステップＳ３０において、端末所有者Ｏｗは、携帯端末１６を操作してセキュリティ対策を施した後、例えばＵＩユニット２６を介して、データの受信を再開する旨の指示操作を行う。そうすると、データ受信部４０は、端末所有者Ｏｗの操作を受け付けた後、ＩｏＴデバイス３６に対してデータの送信を要求する。

ステップＳ２１に戻って、データ受信部４０は、ネットワークＮＷを介してＩｏＴデバイス３６からデータを再び受信する。ステップＳ２９にて適切なセキュリティ対策が施されている場合、不正検知部４４は、今回受信したデータからイベントが検知されなかったと判定する（ステップＳ２３：検知なし）。

ステップＳ３１，Ｓ３２は、図３及び図４のステップＳ０８，Ｓ０９にそれぞれ対応する。以下、前回の受信時にイベントが検知されていた場合（Ｓ３２：検知あり）を想定する。

ステップＳ３３において、通知手段６０は、ＩｏＴデバイス３６のセキュリティ状態の変更の妥当性に関する検証結果を外部に通知する。具体的には、通知手段６０は、通知対象者によるセキュリティ対策（セキュリティ状態の変更）は妥当であって、ステップＳ２３（２回目）でイベントが検知されなくなった旨を通知対象者に通知する。

ここでは、データ送信部４８は、第１通知の場合と同一の通知先（通知対象者）に対して、通知情報生成部５２により生成された通知情報を含む通知メールを送信する。すなわち、ステップＳ２７ｏを実行した場合に「端末所有者Ｏｗ」が、ステップＳ２７ａを実行した場合に「機械管理者Ａｄ」がそれぞれ通知先として設定される。

その結果、通知対象者は、データの不正な状態が検知されなくなった旨の通知（第２通知）を受け取る。通知を受けた者（つまり、通知対象者）は、通知メールが示す通知内容を手掛かりとして、自身が施したセキュリティ対策によりセキュリティ状態が改善したことを速やかに把握する。

ステップＳ３４において、第１実施形態（図３及び図４のステップＳ１１）の場合と同様に、画像形成装置１２Ｂのデータ処理部４２は、ステップＳ２１で受信したデータに応じた処理を行う。ステップＳ３２に戻って、イベントが検知されていない場合（ステップＳ３２：検知なし）、ステップＳ３３（第２通知）の実行を省略した状態で、データ処理部４２は、ステップＳ２１で受信したデータに応じた処理を行う（ステップＳ３４）。

＜画像形成装置１２Ｂによる効果＞
以上のように、第２実施形態における情報処理装置としての画像形成装置１２Ｂは、データ受信部４０と、第１実施形態と動作が異なる通知手段６０と、を備える。このように構成しても、第１実施形態の場合と同様の作用効果が得られる。すなわち、データの要求に応じてステータスコードを提示する場合と比べて、データの不正な状態がより早く解消することができる。特に、通知手段６０は、可変に設定される通知先に通知するので、自由度が高いセキュリティ管理の運用・保守を図ることができる。

また、通知手段６０は、データを送信したＩｏＴデバイス３６（外部装置）に通知してもよい。セキュリティ状態の改善を要望する当事者（ここでは、データの送信者）に対して直に通知されるので、当事者を通じて適切なセキュリティ対策が速やかに講じられる。

また、通知手段６０は、データの解析結果に基づいてデータの送信元を特定できる場合、送信元であるＩｏＴデバイス３６に通知してもよい。これにより、データの送信元として特定した外部装置に対して直に通知される。

［第３実施形態］
続いて、第３実施形態における情報処理システム１０Ｃについて、図１０～図１３を参照しながら説明する。なお、第１実施形態と同一の構成及び機能については、同じ参照符号を付するとともに、その説明を省略する場合がある。

＜運用例及び構成＞
図１０は、第３実施形態における情報処理システム１０Ｃの運用例を示す概略図である。ここでは、ＩｏＴデバイス３６、画像形成装置１２Ｃ、情報管理サーバ２０、及び機械管理者Ａｄの四者が、主要な当事者として関与する場合を想定する。例えば、画像形成装置１２Ｃは、ＩｏＴデバイス３６から収集したデータが不正の状態である（例えば、改竄がなされている）ことを検知した場合、そのデータの処理を一時的に保留して改竄があった旨を、情報管理サーバ２０を経由して機械管理者Ａｄに通知する（第１通知）。通知を受けた機械管理者Ａｄは、情報処理システム１０Ｃを点検し、改竄の問題を解決するための適切なセキュリティ対策を講じる。その後、画像形成装置１２Ｃは、データの処理を再開するとともに、改竄の問題が解決した旨を、情報管理サーバ２０を経由して機械管理者Ａｄに通知する（第２通知）。

図１１は、第３実施形態における画像形成装置１２Ｃの要部を示す機能ブロック図である。この画像形成装置１２Ｃは、第１実施形態（図３）の場合と同様に、データ受信部４０と、データ処理部４２と、不正検知部４４と、検知情報記録部４６と、データ送信部４８と、通知制御部５０と、を備える。ただし、通知手段７０は、データ送信部４８及び通知制御部５０のみならず、情報管理サーバ２０を含んで構成される点に留意する。

＜画像形成装置１２Ｃの動作＞
続いて、図１１の画像形成装置１２Ｃの動作（主に、第３実施形態に特有の動作）について、図４のフローチャート及び図１２のシーケンス図を参照しながら説明する。なお、ステップＳ０５、Ｓ１０を除く他のステップは、第１実施形態の場合と同じ動作を伴うので、その説明を省略する。

図１２のステップＳ０５において、画像形成装置１２Ｃの通知手段７０は、ステップＳ０３（１回目）でイベントが検知された旨を外部に通知する。ここで、通知手段７０は、２つのサブステップ（Ｓ０５ａ、Ｓ０５ｂ）に分けて通知を行う。

ステップＳ０５ａにおいて、通知に先立ち、通知情報生成部５２は、イベント検知情報を含む通知情報を生成する。そして、データ送信部４８は、通知設定部５４により静的に設定された通知先（ここでは、予め登録されている情報管理サーバ２０）に対して、通知情報生成部５２により生成された通知情報を送信する。

ステップＳ０５ｂにおいて、情報管理サーバ２０は、通知設定テーブルＴ１（図６）、Ｔ２（図１３）を参照して機械管理者Ａｄのメールアドレスを抽出し、イベント検知情報を含む通知メールを機械管理者Ａｄに送信する。その結果、機械管理者Ａｄは、管理者端末１８を介して、データの不正な状態が検知された旨の通知（第１通知）を受け取る。

ステップＳ１０において、通知手段７０は、ステップＳ０３（２回目）でイベントが検知されなくなった旨を外部に通知する。ここで、通知手段７０は、２つのサブステップ（Ｓ１０ａ、Ｓ１０ｂ）に分けて通知を行う。

ステップＳ１０ａにおいて、通知に先立ち、通知情報生成部５２は、イベント検知情報を含む通知情報を生成する。そして、データ送信部４８は、通知設定部５４により静的に設定された通知先（ここでは、情報管理サーバ２０）に対して、通知情報生成部５２により生成された通知情報を送信する。

ステップＳ１０ｂにおいて、情報管理サーバ２０は、通知設定テーブルＴ１（図６）、Ｔ２（図１３）を参照して機械管理者Ａｄのメールアドレスを抽出し、イベント検知情報を含む通知メールを機械管理者Ａｄに送信する。その結果、機械管理者Ａｄは、管理者端末１８を介して、データの不正な状態が検知されなくなった旨の通知（第２通知）を受け取る。

ところで、通知手段７０（情報管理サーバ２０）は、設定情報を格納する第２のテーブル（以下、通知設定テーブルＴ２）を参照し、通知に関する様々なカスタム設定を行ってもよい。以下、図１３に示す通知設定テーブルＴ２の具体例について、図１３を参照しながら説明する。

図１３は、図１１の通知設定テーブルＴ２の一例を示す図である。この通知設定テーブルＴ２は、フェーズの種類、通知先、及びフェーズ移行条件の対応関係を示している。ここでは、「フェーズの種類」として、［１］新規検知、［２］妥当性検証（未解決１）、［３］妥当性検証（未解決２）、［４］不検知（解決）、が挙げられている。

まず、フェーズ１（新規検知）において、通知手段７０は、イベントが検知された旨を機械管理者Ａｄに通知するとともに、フェーズ「１」から「２」に移行する。その後、作業者Ｘは、機械管理者Ａｄからの依頼に応じて、情報処理システム１０Ｃの点検（必要であればセキュリティ対策の実行）を単独で開始する。

フェーズ２（妥当性検証；未解決１）において、通知手段７０は、セキュリティ状態の変更の妥当性に関する検証結果を作業者Ｘに通知する。作業者Ｘによりセキュリティ上の問題が解決された場合、通知手段７０は、フェーズ「２」から「４」に移行する。一方、予め定めた回数（１回又は複数回）のセキュリティ対策を講じても問題が解決されない場合、通知手段７０は、フェーズ「２」から「３」に移行する。

フェーズ３（妥当性検証；未解決２）において、通知手段７０は、セキュリティ状態の変更の妥当性に関する検証結果を、作業者Ｘと作業者Ｙの両方に通知する。例えば、この作業者Ｙは、作業者Ｘと比べて熟練度が高い者である。作業者Ｙの手を借りることでセキュリティ上の問題が解決された場合、通知手段７０は、フェーズ「３」から「４」に移行する。

最後に、フェーズ４（不検知）において、通知手段７０は、イベントが検知されなくなった旨を機械管理者Ａｄ及び関与した作業者（ここでは、１人又は２人）に通知した後、このフェーズ「４」を終了する。

＜画像形成装置１２Ｃによる効果＞
以上のように、第３実施形態における情報処理装置としての画像形成装置１２Ｃは、データ受信部４０と、第１実施形態とは構成が異なる通知手段７０と、を備える。このように、複数のコンピュータを含む通知手段７０によっても、第１実施形態の場合と同様の作用効果が得られる。すなわち、データの要求に応じてステータスコードを提示する場合と比べて、データの不正な状態がより早く解消することができる。

また、通知手段７０は、ＩｏＴデバイス３６のセキュリティ状態の変更の妥当性に関する検証結果に応じて異なる通知先に通知してもよい。これにより、検証結果に応じて適した通知先に通知される。

さらに、通知手段７０は、変更の妥当性が検証されなかった旨の検証結果を第１通知先（作業者Ｘ）に少なくとも１回通知した後に、変更の妥当性がさらに検証されなかった場合、第１通知先とは異なる第２通知先（作業者Ｙ）に検証結果を通知してもよい。引き続き同一の者（第１通知先）が関与してセキュリティ状態の変更を行う場合と比べて、データの不正な状態がより早く解消される可能性が高まる。

［第４実施形態］
続いて、第４実施形態における情報処理システム１０Ｄについて、図１０及び図１４～図１６を参照しながら説明する。なお、第３実施形態と同一の構成及び機能については、同じ参照符号を付するとともに、その説明を省略する場合がある。

＜運用例及び構成＞
図１０に示すように、第４実施形態における情報処理システム１０Ｄは、第３実施形態（情報処理システム１０Ｃ）と同様の運用例を採用することができる。つまり、ＩｏＴデバイス３６、画像形成装置１２Ｄ、情報管理サーバ２０、及び機械管理者Ａｄの四者が、主要な当事者として関与する場合を想定する。

図１４は、第４実施形態における画像形成装置１２Ｄの要部を示す機能ブロック図である。この画像形成装置１２Ｄは、データ受信部４０と、データ処理部４２と、不正検知部４４と、検知情報記録部４６と、データ送信部４８と、通知制御部５０と、再送要求部７２（再送要求手段）と、を備える。

＜画像形成装置１２Ｄの動作＞
続いて、図１４の画像形成装置１２Ｄの動作（主に、第４実施形態に特有の動作）について、図１５のフローチャート及び図１６のシーケンス図を参照しながら説明する。なお、第３実施形態の場合と実質的に同じ動作を伴うステップに関しては、その説明を省略する場合がある。

ステップＳ４１～Ｓ４３は、図４及び図１２のステップＳ０１～Ｓ０３にそれぞれ対応する。以下、携帯端末１６から送信されたデータが改竄されており、特定のイベントが検知された場合（Ｓ４３：検知あり）を想定する。

ステップＳ４４において、再送要求部７２は、リトライ回数を計上（１だけカウントアップ）し、予め定められた閾値（例えば、５回）との大小関係を確認する。この「リトライ回数」は、同一のデータを連続して送信した回数を意味し、初期値は０である。

ステップＳ４５において、再送要求部７２は、現在のリトライ回数が閾値に到達したか否かを判定する。閾値に達していない場合（ステップＳ４５：閾値に未達）、ステップＳ４１に戻って、リトライ回数を更新しながら、ステップＳ４１～Ｓ４５を順次繰り返す。

そして、リトライ回数が閾値に達した場合（ステップＳ４５：閾値に到達）、次のステップＳ４６に進む。以下、ステップＳ４６～Ｓ５３は、図４及び図１２のステップＳ０４～Ｓ１１にそれぞれ対応する。

＜画像形成装置１２Ｄによる効果＞
以上のように、第４実施形態における情報処理装置としての画像形成装置１２Ｄは、［１］データ受信部４０と、［２］通知手段７０と、［３］データの不正な状態が検知された場合にＩｏＴデバイス３６に対して同一のデータの再送信を要求する再送要求部７２（再送要求手段）と、を備える。そして、［４］通知手段７０は、複数回連続して受信したデータのいずれにも不正な状態が検知された場合に初めて外部に通知してもよい。これにより、複数回の再送信を通じてデータの送受信が成功するような状況の下で、データの不正な状態が誤って検知されることを防ぐことができる。

［変形例］
なお、この発明は、上述した第１～第４実施形態に限定されるものではなく、この発明の主旨を逸脱しない範囲で自由に変更できる。あるいは、技術的に矛盾が生じない範囲で各構成を任意に組み合わせてもよいことは勿論である。

上記した第１～第４実施形態では、メールにより通知を行っているが、通知の態様はこれに限られない。例えば、通知手段５６，６０，７０（通知設定部５４）は、レポートによる通知、ＳＮＭＰ（Simple Network Management Protocol）機能を利用した通知、ＵＩユニット２６（図１）による通知を行ってもよい。

上記した第１～第４実施形態では、１つの通知先に対して第１通知及び第２通知を行っているが、通知先の設定方法はこれに限られない。例えば、通知手段５６，６０，７０（通知設定部５４）は、２つ以上の通知先に同時に通知してもよいし、第１通知とは異なる通知先に第２通知を行ってもよい。また、通知手段５６，６０，７０は、イベントの種類に応じて通知先を変更してもよい。

上記した第１～第４実施形態では、第１通知又は第２通知をそれぞれ１回ずつ行っているが、通知回数の設定方法はこれに限られない。例えば、通知手段５６，６０，７０（通知設定部５４）は、通知先への通知により設定された時間内（例えば、１日以内）にセキュリティ状態の変更がなかった場合（上記した実施形態の例では、ステップＳ０７，Ｓ３０，Ｓ４９の「受信再開の指示操作」を受け付けなかった場合）、通知先に再通知してもよい。これにより、通知先への再通知を通じて、セキュリティ状態の速やかな変更が適時に促される。

上記した第１～第４実施形態では、機械管理者Ａｄが、データの不正な状態が検知された旨の通知を受け取った際、情報処理システム１０を点検し、セキュリティ対策を施した後にデータの受信を再開するが、データの受信再開タイミングはこれに限られない。例えば、データが不正な状態であることを後々分かる状態にしておき、データを受信し続けてもよい。これにより、データの信頼性が低いことが理解可能な上で、データ処理のリアルタイム性が満たされる。

上記した第４実施形態では、リトライ回数の上限値（つまり、閾値）を固定値として取り扱っているが、閾値の決定方法はこれに限られない。例えば、再送要求部７２は、過去の通信履歴情報を用いた学習処理により、単なる送受信の失敗なのか、検知されるべきイベントの発生なのかを判別可能なリトライ回数を算出し、この回数を閾値として設定してもよい。

１０（Ａ，Ｂ，Ｃ，Ｄ） 情報処理システム、１２（Ａ，Ｂ，Ｃ，Ｄ） 画像形成装置（情報処理装置）、３６ ＩｏＴデバイス（外部装置）、４０ データ受信部（受信手段）、４２ データ処理部（処理手段）、５６，６０，７０ 通知手段、７２ 再送要求部（再送要求手段）、Ａｄ 機械管理者、Ｏｗ 端末所有者。

Claims (7)

1. １つ又は複数の外部装置からデータを受信する受信手段と、
   前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、
   を備え、
   前記通知手段は、前記外部装置におけるセキュリティの設定権限を有する者、及び、前記外部装置におけるセキュリティの管理権限を有する者、のうちの少なくともいずれかに通知することを特徴とする情報処理装置。
2. １つ又は複数の外部装置からデータを受信する受信手段と、
   前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、
   を備え、
   前記通知手段は、前記検証結果に応じて異なる通知先に通知することを特徴とする情報処理装置。
3. 前記通知手段は、前記変更の妥当性が検証されなかった旨の前記検証結果を第１通知先に少なくとも１回通知した後に前記変更の妥当性がさらに検証されなかった場合、前記第１通知先とは異なる第２通知先に前記検証結果を通知することを特徴とする請求項２に記載の情報処理装置。
4. １つ又は複数の外部装置からデータを受信する受信手段と、
   前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、
   を備え、
   前記通知手段は、通知先への通知により設定された時間内に前記変更がなかった場合、前記通知先に再通知することを特徴とする情報処理装置。
5. １つ又は複数の外部装置からデータを受信する受信手段と、
   前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知手段と、
   前記不正な状態が検知された場合、前記外部装置に対して同一のデータの再送信を要求する再送要求手段と、
   を備え、
   前記通知手段は、複数回連続して受信したデータのいずれにも不正な状態が検知された場合に初めて外部に通知する
   ことを特徴とする情報処理装置。
6. １つ又は複数の外部装置からデータを受信する受信ステップと、
   前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知ステップと、
   を１つ又は複数のコンピュータが実行することを特徴とする情報処理方法であって、
   前記通知ステップでは、前記外部装置におけるセキュリティの設定権限を有する者、及び、前記外部装置におけるセキュリティの管理権限を有する者、のうちの少なくともいずれかに通知することを特徴とする情報処理方法。
7. １つ又は複数の外部装置からデータを受信する受信ステップと、
   前記外部装置から受信したデータの不正な状態が検知された旨を外部に通知するとともに、前記外部装置のセキュリティ状態の変更の妥当性を検証した検証結果を外部に通知する通知ステップと、
   を１つ又は複数のコンピュータに実行させることを特徴とする情報処理プログラムであって、
   前記通知ステップでは、前記外部装置におけるセキュリティの設定権限を有する者、及び、前記外部装置におけるセキュリティの管理権限を有する者、のうちの少なくともいずれかに通知することを特徴とする情報処理プログラム。

Images