JP7163606B2 - 情報処理装置及びプログラム - Google Patents

Description

本発明は、情報処理装置及びプログラムに関する。

情報処理装置の中には、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能なものが存在する。この種の情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合もあり得る。例えば、情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。

特許文献１に開示されたシステムでは、印刷制御装置がいずれかのネットワークを介してジョブを受信すると、該ジョブを受信したネットワークを特定し、特定したネットワークの情報をジョブの属性値として付加し、画像形成装置へ保存する際に、ジョブの属性値として付加されたネットワーク情報を管理テーブルに格納してジョブと共に管理する。そして、端末装置からＨＤＤに保存されているデータの取得要求がなされた場合、管理テーブルを参照して該データにネットワーク情報を付加し、該ネットワーク情報と送信先ネットワーク情報に基づいて送信条件に満足するか判定を行い、満足する場合にデータを送信する。

特許第５５１１３３２号明細書

情報処理装置の中には、複数のネットワークインタフェースを介して異なる複数のネットワークに同時に接続可能なものが存在する。この種の情報処理装置が、機密度の高いデータを扱う第１ネットワークと、そうでない第２ネットワークとの両方に接続される場合もあり得る。例えば、情報処理装置が、デジタル複合機等の高価な機器である場合、第１ネットワークと第２ネットワークとで共用できた方がコスト面で有利である。このような場合、第１ネットワーク上で取り扱われるデータがその情報処理装置内の保存領域にいったん保存されたあと、その保存領域から第２ネットワーク上に漏洩する事態が起こり得る。このような事態を避けるための方法の一つとして、第１ネットワークからのデータを保存するための専用の保存領域を情報処理装置内に設け、その保存領域内のデータの出力経路として第１ネットワーク用のネットワークインタフェースは許可するが第２ネットワーク用のネットワークインタフェースは許可しない旨を示す属性を、その保存領域に対して設定するという方法が考えられる。この方法では、その保存領域に保存されたデータに対して、第２ネットワーク用のネットワークインタフェースを介して出力する指示があっても、その属性を参照した制御により、その指示は実行されない。

このような方法において、保存領域に設定された上述の属性の変更が必要になる場合がある。しかしながら、その属性の変更を無制限に認めると、その変更の以前から保存領域内にあるデータが、変更前の属性では許可されていなかったネットワークインタフェースを介して出力される事態が生じ得る。

本発明は、保存領域に設定された属性の変更により、保存領域内のデータが変更前の属性では許可されていなかったネットワークインタフェースを介して出力される事態が生じないようにすることを目的とする。

請求項１に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段と、を含み、前記状態は、前記変更指示を受けた時点で前記保存領域に保存されているデータがあるかないかを示す状態であり、前記所定条件は、前記変更指示を受けた時点で、前記保存領域内にデータがあることである、情報処理装置である。

請求項２に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段と、前記保存領域に保存したデータごとに、そのデータが前記複数のネットワークインタフェースのいずれかを経由して入力されたものか否かを記憶する手段と、を含み、前記状態は、前記変更指示を受けた時点で前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあるか否かを示す状態であり、前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあることである、情報処理装置である。
請求項３に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段と、を含み、前記状態は、前記変更指示を受けた時点で前記保存領域内に予め定められた重要データ条件を満たすデータがあるかないかを示す状態であり、前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記重要データ条件を満たすデータがあることである、情報処理装置である。

請求項４に係る発明は、前記変更指示が、前記複数のネットワークインタフェースのいずれも前記出力経路として許可しない旨を示す属性への変更を指示するものである場合には、前記状態が前記所定条件を満たす場合でも、前記変更指示に対応する前記属性の変更を実行する、請求項１～３のいずれか１項に記載の情報処理装置である。

請求項５に係る発明は、前記変更制御手段は、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しないことに代えて、前記変更指示を受けた時点で前記保存領域内にあるデータの転送を禁止した上で、前記変更指示に対応する前記属性の変更を実行する、請求項１～３のいずれか１項に記載の情報処理装置である。

請求項６に係る発明は、前記変更制御手段は、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しないことに代えて、前記変更指示を受けた時点で前記保存領域内にあるデータを別の保存領域に退避させた上で、前記変更指示に対応する前記属性の変更を実行する、請求項１～３のいずれか１項に記載の情報処理装置である。

請求項７に係る発明は、前記変更制御手段は、前記状態が所定条件を満たす場合に、前記複数のネットワークインタフェースのいずれも前記出力経路として許可しない旨を示す属性、又は前記保存領域に対応付けられた前記属性と同じ属性、を持つ保存領域を前記別の保存領域として新たに生成し、当該別の保存領域に前記保存領域のデータを退避させる、請求項６に記載の情報処理装置である。

請求項８に係る発明は、前記変更制御手段は、前記変更指示を行った者が前記情報処理装置の管理者である場合には、前記変更指示に従って前記属性を変更する、請求項１～７のいずれか１項に記載の情報処理装置である。

請求項９に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、を備えるコンピュータを、前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段、として機能させるためのプログラムであって、前記状態は、前記変更指示を受けた時点で前記保存領域に保存されているデータがあるかないかを示す状態であり、前記所定条件は、前記変更指示を受けた時点で、前記保存領域内にデータがあることである、プログラムである。
請求項１０に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、前記保存領域に保存したデータごとに、そのデータが前記複数のネットワークインタフェースのいずれかを経由して入力されたものか否かを記憶する手段と、を備えるコンピュータを、前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段あって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段、として機能させるためのプログラムであって、前記状態は、前記変更指示を受けた時点で前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあるか否かを示す状態であり、前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあることである、プログラムである。
請求項１１に係る発明は、複数のネットワークインタフェースと、データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、を備えるコンピュータを、前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段、として機能させるためのプログラムであって、前記状態は、前記変更指示を受けた時点で前記保存領域内に予め定められた重要データ条件を満たすデータがあるかないかを示す状態であり、前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記重要データ条件を満たすデータがあることである、プログラムである。

請求項１、２、３、８、９、１０又は１１に係る発明によれば、保存領域に設定された属性の変更により、保存領域内のデータが変更前の属性では許可されていなかったネットワークインタフェースを介して出力される事態が生じことを防止することができる。

請求項４、５、又は６に係る発明によれば、保存領域内に文書があると属性の変更を実行しない場合と比べて、属性の変更が実行されやすくなる。

請求項７に係る発明によれば、異なる保存領域から退避した文書が、同じ「別の保存領域」に混在することを防止することができる。

本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示すである。 複合機の内部構成を例示する図である。 ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを例示する図である。 入出力経路アクセス権限情報のデータ構造の例を示す図である。 図４の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 ローカルのＵＩ（ユーザインタフェース）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 リモート（ネットワーク）からのボックスへの指示に対する入出力制御部の処理の手順を例示する図である。 入出力経路アクセス権限情報のデータ構造の別の例を示す図である。 図８の入出力経路アクセス権限情報を用いたボックス入出力情報の例を示す図である。 未指定時情報の項目を含む入出力経路アクセス権限情報のデータ構造の例を示す図である。 通知部を備える実施形態の装置構成を例示する図である。 文書の属性情報の例を示す図である。 管理情報変更処理部の処理手順の一例を示す図である。 管理情報変更処理部の処理手順の別の例を示す図である。 管理情報変更処理部の処理手順の更に別の例を示す図である。

＜装置構成＞
図１に、本発明に係る情報処理装置の一実施形態としての複合機１００が接続されるネットワーク環境の一例を示す。

この例では、複合機１００は、３つのネットワークインタフェースを内蔵しており、それらネットワークインタフェースを介してＬＡＮ１、ＬＡＮ２、Wi-Fi（登録商標）という３つの異なるネットワークに接続されている。各ネットワーク上のＰＣ（パーソナルコンピュータ）やモバイル端末等のコンピュータ２００は、各々が接続されているネットワークを経由して、複合機１００とデータのやりとりを行う。なお、複合機とは、プリンタ、スキャナ、コピー機、ファクシミリ等の機能を併せ持つ装置のことである。

図２に、複合機１００の内部構成の一例を示す。複合機１００は、スキャナ１０１、プリンタ１０３、ファクシミリ装置１０５、表示装置１０７、不揮発性記憶装置１０９、主制御部１１０、ネットワークインタフェース１２０－１、１２０－２及び１２０－３（以下区別の必要がないときは「ネットワークインタフェース１２０」と総称）を有する。

スキャナ１０１は、原稿の画像を光学的に読み取ってその画像を表す画像データを生成する。プリンタ１０３は、画像データが表す画像を用紙に印刷する。スキャナ１０１とプリンタ１０３を連係動作させることで、コピー処理が実現される。ファクシミリ装置１０５は、ファクシミリの送受信を行う。表示装置１０７は、複合機１００のＵＩ（ユーザインタフェース）用の画面を表示する装置である。この例では、表示装置１０７はタッチパネル型の装置として構成されており、入力装置も兼ねる（ただしこれはあくまで一例に過ぎない）。不揮発性記憶装置１０９は、電源をオフしても記憶を保持する記憶装置であり、ハードディスクドライブやフラッシュメモリがその一例である。

主制御部１１０は、複合機１００の動作を制御する装置であり、データ処理を行うコンピュータと、そのコンピュータが実行する制御プログラムとを含んでいる。主制御部１１０は、表示装置１０７に表示したＵＩ画面に対するユーザの入力を受け取り、この入力に応じてスキャナ１０１、プリンタ１０３、ファクシミリ１０５等を制御することで、ユーザの指示する処理を実現する。また、主制御部１１０は、ネットワークインタフェース１２０－１、１２０－２及び１２０－３を介してネットワークに接続されており、ネットワーク上のコンピュータと指示やデータのやりとりを行う。図１及び図２の例では、ネットワークインタフェース１２０－１はＬＡＮ１に、ネットワークインタフェース１２０－２はＬＡＮ２に、ネットワークインタフェース１２０－３はWi-Fi経由であるネットワークに、それぞれ接続されているとする。以下の説明のために、この例では、少なくともＬＡＮ１とＬＡＮ２は異なるネットワークであるものとする。また、複合機１００がWi-Fi経由で接続されているネットワークは、ＬＡＮ１に接続されているものとする。

複合機１００は、画像データやページ記述言語で記述された印刷データ、各種のアプリケーションで生成されたファイル等の電子文書データ（以下単に「文書」と呼ぶ）を不揮発性記憶装置１０９に保存する機能を有する。

複合機１００には、文書の保存領域を複数設けることが可能である。保存領域の具体的な実現方式に特に限定はない。例えば、個々の保存領域は、主制御部１１０のファイルシステムが管理する１つのフォルダであってもよいし、不揮発性記憶装置１０９に対して設定された１つの論理パーティション又は論理ドライブであってもよい。また、複合機１００に不揮発性記憶装置１０９（物理ドライブ）を複数設け、それら個々の物理ドライブをそれぞれ別々の保存領域として定義してもよい。また、これら例示した種類の保存領域を組み合わせて利用可能としてもよい。以下では、個々の保存領域のことを比喩的に「ボックス」と呼ぶ。個々のボックスにアクセス可能なユーザを制限するために、ボックスに対してパスワードを設定したり、アクセス制御リストによりボックスに対する各ユーザのアクセス権限を規定したりすることも可能である。

主制御部１１０は、このようなボックスに対する文書の入力（保存、蓄積）及び出力（取り出し）を制御する機能を持つ。

ボックスには、スキャナ１０１のスキャンにより生成された文書（画像データ）、ファクシミリ装置１０５が受信した文書、ネットワーク経由で入力された文書などが保存される。また、ボックスに保存された文書は、プリンタ１０３からの印刷出力、ファクシミリ装置１０５による送信、又はネットワーク経由での送信等の態様で出力される。

図に例示した複合機１００は複数の異なるネットワークに接続されているが、これらネットワークごとにセキュリティに関する要件が異なる場合がある。例えば、オフィスにおいて、機密性が高いデータを取り扱う部門とそうでない部門とでネットワークを分けることで、後者の部門のスタッフがネットワーク経由で機密性の高いデータにアクセスできないようにする場合がその一例である。このような場合でも、高価な複合機１００を部門ごとに設置することが困難で、１つの複合機１００を複数部門で共用することがある。このような場合、複合機１００が、セキュリティ要件の厳しい部門（便宜上「第１部門」と呼ぶ）のネットワークと、そうでない部門のネットワークに接続されることになる。前者の部門のセキュリティ要件を満たすには、複合機１００内のボックス（保存領域）として、前者の部門専用のボックスを用意し、このボックスに保存された文書が後者の部門のネットワークに流出しないようにする必要がある。

例えば、第１部門のネットワークと、これと異なる他の部門のネットワークとが、プライベートＩＰアドレスとして同じネットワークアドレスを用いている場合があり得る。このような場合、複合機１００内のボックスへのアクセス制限やボックス内の文書の転送制限をＩＰアドレスで行うことはできない。対策として、例えば、ボックス内の文書を送信する際に、その送信を指示するユーザが、その送信において経由するネットワークインタフェース１２０を指定すれば、そのボックス内の文書が想定外のネットワークに流出することを防げる。しかし、経由するネットワークインタフェース１２０を指定することは一般ユーザにとって難度が高い要求であり、ユーザを迷わせたり、誤った選択を誘発したりする可能性が少なくない。

そこで、本実施形態では、ボックスに保存された文書がセキュリティ上許可されないネットワークに流出しないように制御する仕組みを設けている。以下、この仕組みについて説明する。

図３に、この仕組みのために主制御部１１０が有する機能群を示す。ボックス記憶部１１１は、１以上のボックスの情報と、各ボックスに保存される文書の情報とを記憶する。入出力制御部１１３は、ボックス記憶部１１１に対する文書の入力（保存）又は出力（転送、印刷等）の制御を行う。

入出力先判定部１１５は、ボックスに対する操作指示や文書の入力の入力元、及びボックス内の文書の出力先を判定する。ボックスに対する操作指示の入力元としては、ローカルのＵＩ（すなわち表示装置１０７）と、ネットワーク上の装置とがある。ネットワーク上の装置は、複数のネットワークインタフェース１２０のいずれかを介して主制御部１１０と通信するので、入出力先判定部１１５は、到来した操作指示が、ローカルのＵＩ及び複数のネットワークインタフェース１２０のいずれからのものかを判定する。同様に、入出力先判定部１１５は、ボックスに対して文書が入力された場合、その入力元が、ローカルのスキャナ１０１及びファクシミリ装置１０５（ファクシミリ受信）、並びに複数のネットワークインタフェース１２０のいずれからのものかを判定する。入出力先判定部１１５は、ボックス内の文書の出力指示を受けた場合、その出力先が、ローカルのプリンタ１０３及びファクシミリ装置１０５（ファクシミリ送信）、並びに複数のネットワークインタフェース１２０のいずれへのものかを判定する。

ボックス認証部１１７は、ユーザのボックスへのアクセス認証、及び到来した文書のボックスへの入力（保存）のための認証を行う。この認証は、例えば操作または文書入力の対象のボックスに設定されたパスワードを用いて行う。すなわち、ユーザがボックスの操作を開始しようとした場合、パスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、そのユーザからの操作を許可する。また、ボックス宛のファクシミリ受信の場合、受信した文書に付随するパスワードがそのボックスに設定されたパスワードと合致する場合、その文書をそのボックスに蓄積することを許可する。また、ボックスに対してアクセス制御リストが設定されている場合、図示省略したユーザ認証機構が複合機１００は操作を行おうとするユーザに対してユーザ認証を行い、ボックス認証部１１７は、ユーザ認証により特定されたユーザがそのボックスのアクセス制御リストにより許可される権限の範囲内で、そのボックスに対する操作を許可する。例えば、ユーザがそのボックスについて、文書の蓄積及び印刷の権限は認めているが、ファクシミリ及びネットワーク経由での転送の権限を認めていない場合、ユーザからの転送指示は不許可とする。なお、ボックスにパスワードが設定されておらず、アクセス制御リストによるアクセス制御も行われない場合は、ユーザはそのボックスに対してすべての操作が許可される（ただし、別途、その操作に係るボックス内の文書の入出力先に応じた後述する操作制限は受ける）。

管理情報記憶部１１９は、ボックスへの入出力についての入出力制御部１１３の制御のために用いる管理情報を保持する。保持される管理情報には、ボックスごとに各入出力先からの入出力の許可・不許可を示すボックス入出力情報が含まれる。ボックス入出力情報は、例えば、ボックスごとに、そのボックスに対する操作指示又は文書の入力を許可する入力元、及びそのボックス内の文書の出力を許可する出力先を規定する。この場合、ボックス入出力情報に許可の旨が規定されない入力元からの入力、及び出力先への出力は許可されない。また、ボックス入出力情報は、許可する入力元及び出力先を規定する代わりに、不許可とする入力元及び出力先を規定するものであってもよい。この場合、ボックス入出力情報に不許可の旨が規定されない入力元からの入力、及び出力先への出力は許可される。また、ボックス入出力情報は、入力元と出力先について個別に規定するものに限らず、あるソース（またはネットワークインタフェース１２０）に対して、ボックスへの入力及び出力の両方を一括して許可又は不許可とする旨を規定するものであってもよい。

また、ボックス内の文書の意図せぬ漏洩の防止という観点では、ボックスへの入力（保存）を制限しなくてよい場合も考えられる。そのような場合には、ボックス入出力情報は、許可されるボックスからの出力先（又は不許可とするボックスからの出力先）を規定するものであれば足りる場合がある。ただし、前述したセキュリティ要件が異なる複数のネットワークに複合機１００が接続される例のように、セキュリティ要件が厳しいネットワークからの文書が、セキュリティ要件の緩いネットワークへの出力を許可するボックスに蓄積されると、そのボックスを介して後者のネットワークに漏洩するリスクがある。そこで、このような場合にはボックス入出力情報には、入力元についても規定する。

また、複合機１００のローカルの（すなわちネットワーク経由でない）入出力、すなわちスキャンやファクシミリ等からの文書のボックスへの保存、ボックス内の文書の印刷出力及びファクシミリ送信等は、複合機１００の基本的な機能であり、これらについてはデフォルトで許可としてもよい。以下に示すいくつかの具体例では、ボックスへのローカルの入出力は許可されているとする。この場合、ボックス入出力情報は、各ネットワークインタフェース１２０を経路とする入力及び出力の許可又は不許可を規定するものとなる。

入出力制御部１１３は、管理情報記憶部１１９に保持されたボックス入出力情報等の管理情報を参照して、ボックス記憶部１１１内の個々のボックスへの文書の入力及び出力の制御を行う。

次に、具体例を用いて、入出力制御部１１３の処理を説明する。

図４及び図５には、一つの具体例において用いる、管理情報記憶部１１９に保持される入出力経路アクセス権限情報、及びボックス入出力情報を示す。この例は、複合機１００が、図１に示したＬＡＮ１、ＬＡＮ２、及びWi-Fiという３つのネットワークに（これらに対応する３つのネットワークインタフェース１２０を介して）接続されている場合の例である。

図４に示す入出力経路アクセス権限情報は、ネットワークグループを規定する情報である。この情報は、ネットワークグループＩＤと、これに対応するネットワークインタフェース情報とを含む。ネットワークグループＩＤは、ネットワークグループを一意に識別するためのＩＤである。ネットワークインタフェース情報は、当該ネットワークグループＩＤのネットワークグループを構成するネットワークインタフェースのＩＤのリストである。図４の例では、「グループ１」は「ＬＡＮ１」というネットワークインタフェース１２０（及びその先に繋がるネットワーク）のみから構成され、「グループ５」は「ＬＡＮ１」及び「Wi-Fi」という２つのネットワークインタフェース１２０から構成される。このグループの情報は、図５に例示するボックス入出力情報において、ボックスに対する入出力を許可するグループを表すために用いられる。なお、「グループ４」は、ネットワークインタフェース情報の値が「Ｎｏｎｅ」（すなわち「なし」）となっているが、これはネットワークインタフェース１２０経由のボックスへの入出力を一切許可しない場合に用いられる。また、「グループ５」は、例えば「ＬＡＮ１」と「Wi-Fi」によってそれぞれ接続されるネットワークで同様のセキュリティ要件に従った文書を取り扱う場合に用いられる。このグループをボックスに対応付けた場合、そのボックスで取り扱う（すなわち保存したり出力したりする）文書は、ＬＡＮ１及びWi-Fiで通信するものに限られる。

図５に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスへの入出力を許可するネットワークグループのＩＤを規定する。すなわち、図４及び図５の例では、ボックスに対応付けられたネットワークグループに属するネットワークインタフェース１２０は、そのボックスに対する入力及び出力の両方の経路として許可される。

図５の例では、「ボックス１」という名称のボックス（ボックスＩＤは「００１」）は、グループ１に対応付けられている。したがって、このボックス１については、グループ１に属する「ＬＡＮ１」というＩＤのネットワークインタフェース１２０を経由する入出力は許可されるが、他のネットワークインタフェース１２０を経由する入出力は許可されない。すなわち、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１経由での文書保存は許可
２）ＬＡＮ２又はWi-Fi経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

なお、この例ではローカルの入出力はデフォルトで許可となっているので、ボックス１へのスキャン及びファクシミリ受信による文書の保存、及びボックス１内の文書の印刷及びファクシミリ送信による出力は許可される。

このように、図４及び図５に示した例は、ボックスごとにいわばそのボックスを利用可能なネットワークを規定するものである。この例では、ボックスのネットワーク経由で利用できる（すなわちボックスを操作できる、ボックスに文書を保存できる、ボックス内の装置を取り出せる、又はその文書の転送先となれる）のは、そのボックスに対応付けられたネットワークグループに属するネットワーク上の装置に限定される。したがって、複数のネットワークで共用される複合機１００内の各ボックスを、ネットワークごとに分離することができる。また、この例では、ローカルから（すなわちスキャナ１０１又はファクシミリ装置１０５から）ボックス内に保存された文書についても、リモートのコンピュータからその文書を取り出したり、リモートのコンピュータにその文書を転送したりする際に、そのボックスについてのボックス入出力情報が適用される。したがって、そのようなローカルからボックスに保存した文書についても、ボックスを介して意図せぬネットワークに漏洩することが防止される。

次に図６及び図７を参照して、入出力制御部１１３が実行する処理手順の一例を説明する。

図６は、ユーザがローカルのＵＩ（表示装置１０７）の画面上であるボックスを操作対象として指定した場合に、入出力制御部１１３が行う処理の例を示す。この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ１０）。ボックス認証部１１７は、そのボックスにパスワードが設定されている場合は、パスワード入力画面をＵＩに表示し、ユーザにパスワード入力を求める。これに応じてユーザが入力したパスワードがそのボックスに設定されたパスワードと一致すれば、ボックス認証部１１７は、認証成功とする。また、ボックスへのアクセスをユーザ認証ベースのアクセス制御リストにより制御する方式の場合は、ボックス認証部１１７は、図示しないユーザ認証機構にユーザのログイン認証を行わせ、このログイン認証が成功した場合、そのユーザのユーザＩＤをユーザ認証機構から得る。そして、そのユーザＩＤがそのボックスに対して何らかのアクセス権（例えばボックスへの文書の保存又は取り出し等の権限）を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ１０の認証を成功とし、一切アクセス権を持っていなければ認証を失敗とする。入出力制御部１１３は、ボックス認証部１１７の認証が成功したか否かを判定する（Ｓ１２）

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するユーザからの指示が、そのボックス内の文書をネットワーク経由で転送する操作を指示するものであるかどうかを判定する（Ｓ１６）。例えばＦＴＰ(File Transfer Protocol)やＳＭＴＰ（Simple Mail Transfer Protocol）のようなネットワーク転送のプロトコルを用いた転送操作が指示された場合、Ｓ１６の判定結果はＹｅｓとなる。逆に、そのボックス内の文書の印刷出力、ファクシミリ送信、又はそのスキャン結果の文書のボックス内への保存等の、ネットワーク経由の転送以外の操作が指示された場合は、Ｓ１６の判定結果がＮｏとなる。

Ｓ１６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ１８）。例えば、ユーザが、スキャンした文書をそのボックスに保存する操作を指示した場合、入出力制御部１１３は、スキャナ１０１が生成した文書を受け取ってボックス記憶部１１１内のそのボックスに保存する。

Ｓ１６の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された転送（送信）の転送先への出力経路がどのネットワークインタフェース１２０となるかを入出力先判定部１１５に判定させる。入出力先判定部１１５は、この判定を、例えば、転送先のアドレス（例えばＩＰアドレス）がどのネットワークインタフェース１２０の先にあるネットワークのものかを判定することで行えばよい。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の出力経路として許可されているか否かを判定する（Ｓ２０）。図４及び図５の例の場合、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合Ｓ２０の判定結果はＹｅｓとなり、含まれない場合はＳ２０の判定結果はＮｏとなる。

Ｓ２０の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー画面をローカルのＵＩに表示し（Ｓ１４）、処理を終了する。

Ｓ２０の判定結果がＹｅｓの場合、入出力制御部１１３は、転送対象に指定された文書を、指定された転送先に転送する（Ｓ２２）。

図７は、ユーザが複合機１００とネットワークを介して接続されたリモートのコンピュータからボックスに対する操作を指示した場合の入出力制御部１１３が行う処理の例を示す。リモートからのボックスの操作には、例えばボックスに対する文書の保存（すなわち当該コンピュータからボックスへのアップロード）、ボックス内の文書の取り出し（ボックスから当該コンピュータへのダウンロード）、ボックスの操作画面の表示等がある。

この場合、入出力制御部１１３は、ボックス認証部１１７にそのボックスについてのアクセス認証処理を行わせる（Ｓ３０）。リモートからの指示がそのボックス宛の文書保存指示である場合、ボックス認証部１１７は、例えば、そのボックスに設定されているパスワードがその文書保存指示に含まれているか調べ、含まれていれば認証成功、そうで無ければ認証失敗と判定する。また、リモートのユーザからボックスへのアクセス要求を受けた場合は、ボックス認証部１１７は、ボックスのパスワードの入力を求め、これに応じて正しいパスワードが入力された場合に、認証成功とする。また、ボックスへのアクセスをアクセス制御リストにより制御する方式の場合は、図６の場合と同様、ユーザ認証が成功していれば、ボックス認証部１１７は、ログインが成功しているユーザＩＤをユーザ認証機構から得て、そのユーザＩＤがそのボックスに対して何らかのアクセス権を持っているか否かをそのボックスのアクセス制御リストから判定する。そのユーザがそのボックスに何らかのアクセス権を持っていれば、ボックス認証部１１７はＳ３０の認証を成功とする。

ボックス認証部１１７の認証が失敗した場合、入出力制御部１１３は、指定されたボックスについての操作が実行不可であることを示すエラー情報をリモートの指示元の装置に表示し（Ｓ３４）、処理を終了する。

ボックス認証部１１７の認証が成功した場合、入出力制御部１１３は、そのボックスに関するリモートのユーザからの指示が、そのボックスへの文書の保存（アップロード）指示、又はボックス内の文書の取り出し（ダウンロード）指示であるかどうかを判定する（Ｓ３６）。

Ｓ３６の判定結果がＮｏの場合、入出力制御部１１３は、ユーザが指示した処理を実行する（Ｓ４０）。例えば、ユーザの指示が、そのボックス内の操作画面の表示を求めるものであれば、その操作画面の情報をそのユーザのコンピュータにネットワーク経由で送信する。

Ｓ３６の判定結果がＹｅｓの場合、入出力制御部１１３は、そのリモートのユーザからの指示を受け取った経路がどのネットワークインタフェース１２０であるかを入出力先判定部１１５に判定させる。そして、入出力制御部１１３は、管理情報記憶部１１９を参照して、入出力先判定部１１５が判定したネットワークインタフェース１２０が、ボックス入出力情報において当該ボックス内の文書の入力または出力の経路として許可されているか否かを判定する（Ｓ３８）。この判定では、文書保存指示の場合は、判定したネットワークインタフェース１２０が入力経路として許可されているか否かを判定し、文書のとりだし指示の場合は、そのネットワークインタフェース１２０が出力経路として許可されているかを判定する。図４及び図５の例の場合、入出力を区別していないので、当該ボックスに対応付けられたネットワークグループ内に、そのネットワークインタフェース１２０が含まれる場合、Ｓ３８の判定結果はＹｅｓとなり、含まれない場合はＳ４０の判定結果はＮｏとなる。

Ｓ３８の判定結果がＮｏの場合、入出力制御部１１３は、指示された操作が実行不可であることを示すエラー情報をリモートのユーザのコンピュータに返し（Ｓ３４）、処理を終了する。指示された操作が文書の保存であった場合、その指示に付随して受信した文書はこのとき破棄される。Ｓ３８の判定結果がＹｅｓの場合、入出力制御部１１３は、ユーザから指示された操作、例えばボックスへの文書の保存、又はボックス内の文書の取り出しを実行する（Ｓ４０）。

図７の手順では、リモートのコンピュータからボックスへの操作指示を受けると、その指示とそのコンピュータのあるネットワークとの組合せから、その指示に係る操作が許可できるか否かを判定したが、この指示と判定の順序は一例に過ぎない。この代わりに、ユーザがリモートから複合機１００内のボックスにアクセスした際、そのコンピュータからそのボックスに対して文書の入力又は出力が認められるかを入出力制御部１１３が判定し、認められない操作は例えば操作画面上に選択不可状態（すなわちその操作を画面上で選択できない状態）で表示してもよい。

図７の処理によれば、ボックスに対してユーザがリモートのコンピュータからアクセスした場合、ユーザがそのボックスにアクセス権を持っていたとしても、そのコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合には、そのボックスに対する文書の保存又は取り出しを行うことはできない。ただし、この場合でも、文書の保存又は取り出し以外のそのボックスに対するある範囲の操作は許可されるようにしてもよい。また、ボックスにアクセスするコンピュータがそのボックスに対する入力又は出力を許可されないネットワーク上にある場合に、そのボックスの操作画面の表示すら許可しないようにしてもよい。

次に図８及び図９を参照して、管理情報記憶部１１９に保持されるボックス入出力情報の別の例を説明する。

図８は、この例における入出力経路アクセス権限情報の一例を示す。この入出力経路アクセス権限情報は、図４の例と異なり、入力経路と出力経路とに分けて規定されている。すなわち、図８の入出力アクセス権限情報は、入力許可経路と出力許可経路の組合せを１つのパターンとして、１以上のパターンを規定している。入力許可経路は、そのボックスに対する文書の入力経路として許可される１以上のネットワークインタフェース１２０であり、出力許可経路は、そのボックス内の文書の出力経路として許可される１以上のネットワークインタフェース１２０である。例えば、パターン３は、ボックスへの入力経路として、ＬＡＮ１、ＬＡＮ２及びWi-Fiの３つのネットワークインタフェース１２０を許可するが、出力経路としては１つのネットワークインタフェース１２０も許可しない（「Ｎｏｎｅ」）。これは、当該ボックス内の文書は、ネットワーク経由での出力は一切許可しないことを意味する。

図９に示すボックス入出力情報は、ボックス記憶部１１１内のボックスごとに、そのボックスに設定された入出力アクセス権限情報のパターンＩＤを規定する。

図９の例では、ボックス１（ボックスＩＤは「００１」）は、パターン１に対応付けられている。したがって、このボックス１については、ＬＡＮ１及びWi-Fiの２つのネットワークインタフェース１２０を経由する文書の入力（保存）と、ＬＡＮ１を経由する文書の出力が許可される。したがって、図１に例示したＬＡＮ１、ＬＡＮ２及びWi-Fiに接続された複合機１００の場合、ボックス１についてのネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１又はWi-Fi経由での文書保存は許可
２）ＬＡＮ２経由での文書保存は不許可
３）ＬＡＮ１経由での文書の出力（取り出し及び転送）は許可
４）ＬＡＮ２又はWi-Fi経由での文書の出力は不許可

このボックス１に対応付けられたパターン１は、例えば、ＬＡＮ１及びWi-Fiが接続されるネットワークは同様の機密が要求される文書を扱うものであるが、ＬＡＮ１の方がWi-Fiよりもネットワークとしてのセキュリティが高い場合に有用である。すなわち、ボックス１への文書の入力は当該文書については１回きりの話なのでＬＡＮ１及びWi-Fiの両方からの入力を認めても漏洩リスクは少ないが、文書の出力は、１つの文書について何回も行われるので、Wi-Fiよりも漏洩リスクが少ないと考えられるＬＡＮ１のみを許可することで、漏洩リスクを低減するのである。

また、パターン３が設定されたボックス３の場合、ネットワーク経由での文書の入出力の許可態様は以下のようになる。
１）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書保存は許可
２）ＬＡＮ１、ＬＡＮ２又はWi-Fi経由での文書の出力（取り出し及び転送）は不許可
なお、図８に例示したパターンはいずれも出力許可経路として指定されるネットワークインタフェース１２０が１つだけであったが、出力許可経路に複数のネットワークインタフェース１２０が設定されていてもよい。

この図８及び図９に例示した入出力経路アクセス権限情報及びボックス入出力情報に基づく入出力制御部１１３の制御の手順は、図６及び図７に示した手順と同様でよい。

次に、未指定時情報を用いたボックス内の文書の出力制御の例を説明する。

ボックスに対して、文書の出力経路として許可されるネットワークインタフェース１２０が複数設定されている場合がある。例えば図４のグループ５が設定されているボックスがあった場合、そのボックスはこのケースに該当する。このようなボックス内の文書をネットワーク経由で転送する場合、出力経路として設定されている複数のネットワークインタフェース１２０のどれを用いてもその転送先に文書が転送できる場合がある。この場合、転送を指示するユーザがその文書の転送の経路とするネットワークインタフェース１２０を明示的に指定しないと、その文書は、それら複数のネットワークインタフェース１２０のうちオペレーティングシステムに選ばれたものを経由して転送されることとなる。しかし、例えば前に例示したＬＡＮ１とWi-Fiの関係のように、文書出力が許可される経路としてボックスに設定されている複数のネットワークインタフェース１２０が、同じネットワークに接続されているものの、転送データの漏洩リスクの点では優劣がある場合がある。この場合、それら複数のネットワークインタフェース１２０からオペレーティングシステムが選択するネットワークインタフェース１２０が、漏洩リスクの点でよりよいものであるとは限らない。

以上、ユーザが文書転送の経路となるネットワークインタフェース１２０を指定しない場合を例にとったが、例えば文書の転送を含む処理フロー（特開２０１３－１３８２８４号公報に示される指示書がその一例）をボックスに適用する場合に、その処理フローには転送先の装置の名前やアドレス等は記述されるが、経由するネットワークインタフェースまでは規定されない場合が多い。したがって、ボックスに対して処理フローを用いる場合も、同様の事態が起こり得る。

このような事態を防止するために、この例では、ボックスに対して未指定時情報を設定可能とする。未指定時情報は、ボックス内の文書をネットワーク経由で転送する際に出力経路のネットワークインタフェース１２０がユーザや処理フロー等により明示的に指定されていない場合に、出力経路として用いるネットワークインタフェース１２０を規定する。

図１０に、図４の入出力経路アクセス権限情報に未指定時情報の項目を追加した例を示す。未指定時情報の項目に示されるネットワークインタフェース１２０は、ネットワークインタフェース情報の項目に示される１以上のネットワークインタフェース１２０から選ばれる。図示例では、グループ６が設定されたボックスは、ＬＡＮ１及びWi-Fi経由で文書の保存及び取り出し・転送が許可されるが、ボックス内の文書の転送指示において経由するネットワークインタフェース１２０がユーザ等から指定されない場合、入出力制御部１１３は、その指示に係る転送の際に、未指定時情報に規定されるＬＡＮ１を経路として選択する。

このような制御により、ボックス内の文書の転送において経路とするネットワークインタフェース１２０が明示的に指定されなかった場合に、オペレーティングシステムにより漏洩等の観点で劣っているネットワークインタフェース１２０が経路として選ばれることが防止される。

なお、以上の実施形態及びその変形例において、ボックス内の文書の転送の際に経由するネットワークインタフェース１２０としてユーザが明示的に指定したものが、そのボックスのボックス入出力情報において出力経路として許可されないものである場合には、入出力制御部１１３は、その転送を実施せず、ユーザに対して実行不可の旨を応答する。

図１０は、図４の入出力経路アクセス権限情報に未指定時情報の項目を加えたものであったが、図８の入出力経路アクセス権限情報にも同様に未指定時情報の項目を加えて運用することができる。

＜ボックス入出力情報の変更指示に対する処理＞
ボックスのユーザが部署を異動したり、ネットワーク構成が変更されたりした場合等に、ボックス入出力情報の変更が要望されることがある。しかし、その要望にしたがって不用意にボックス入出力情報を変更してしまうと、その変更の前からボックス内にあった文書が、その文書をボックスに保存したときに想定されていたのとは異なるネットワークにでてしまうおそれがある。これは、その文書にとっては一種の漏洩リスクとなる。そこで、以下では，そのような漏洩リスクを低減する例を説明する。

図１１に示すように、この例における複合機１００の主制御部１１０は、図３に示した機能モジュールに加えて、文書属性付加部１１４、管理情報変更処理部１６０を備える。

文書属性付加部１１４は、ボックス記憶部１１１内のボックスに保存される文書に対して属性情報を付加する。ボックス記憶部１１１は、各ボックス内の各文書に対応付けてその文書の属性情報が保持されている。図１２には、あるボックス内の文書の属性情報の一覧が例示される。図１２に例示するように、文書の属性情報には、文書属性付加部１１４が付加したネット入力フラグ及び重要フラグが含まれる。

ネット入力フラグは、その文書がボックスに保存された際の入力経路がネットワーク経由（すなわちいずれかのネットワークインタフェース１２０経由）であるか否かを示す２値（以下では一例として「ＯＮ」と「ＯＦＦ」の２値とする）のデータである。前述の通り、ボックスへの文書の入力経路には、ネットワークの他に、スキャナ１０１やファクシミリ装置１０５（ファクシミリ文書として受信）等がある。スキャナ１０１でスキャンした文書やファクシミリ装置１０５で受信した文書をボックスに保存した場合は、文書属性付加部１１４は、その文書のＩＤに対応するネット入力フラグの値を「ＯＦＦ」にセットする。また、いずれかのネットワークインタフェース１２０経由で受信した文書については、ネット入力フラグの値を「ＯＮ」にセットする。

重要フラグは、重要な文書か否かを示す２値のデータである。この例の文脈で文書が「重要」であるとは、その文書について所定の機密性の確保が求められるという意味である。より具体的には、「重要」な文書には、その文書をボックスに保存したときに想定していた出力先のネットワーク以外のネットワークへ文書が流出することを防止することが求められる。ボックスに保存する文書が「重要」か否かは、例えば、その文書をボックスに保存するユーザが指定する。また、別の例として、入力された文書の内容（例えば本文、又はこれに付加された注釈）に当該文書が「重要」であることを示す所定の文字列（例えば「極秘」、「部外秘」、「機密」等）や所定の注釈データ（例えば「極秘」等のスタンプ画像を示すもの）が含まれている場合には、その文書を「重要」と判定し、そうでない場合には重要でないと判定してもよい。この判定は、文書属性付加部１１４が行う。なお、保存されている文書が画像データである場合には、文書属性付加部１１４は、その画像データに対して光学文字認識技術による文字認識を行った上で、判定を行う。

図１１の説明に戻ると、管理情報変更処理部１６０は、管理情報記憶部１１９に記憶されているボックス入出力情報等のボックスの属性情報に対する変更指示をユーザから受け、その指示に対して属性変更の処理を行う。

管理情報変更処理部１６０は、ユーザからボックスの属性情報、特にボックス入出力情報の変更指示を受けると、その指示に応じて属性情報の変更を行うことで、ボックス内の文書が想定外のネットワークへと流出しないようにする処理を行う。

図１３に、管理情報変更処理部１６０が実行する処理手順を例示する。この手順は、ユーザから、あるボックスの入出力属性（すなわちボックス入出力情報）の変更操作の開始が指示された場合に実行される。

この手順では、まず管理情報変更処理部１６０は、変更操作の対象に指定されたボックス内に保存されている文書があるか否かを調べる（Ｓ５０）。そのボックス内に文書がない場合、管理情報変更処理部１６０は、そのボックスの入出力属性の変更を許可する（Ｓ５２）。この場合管理情報変更処理部１６０は、例えば、そのボックスの入出力属性の変更画面を提供し、ユーザからその入出力属性の変更操作を受け付ける。

Ｓ５０の判定結果がＹｅｓ（すなわち対象のボックス内に文書がある）場合、管理情報変更処理部１６０は、そのボックス内の各文書の属性情報（図１２参照）を調べ、それら文書の中にネットワーク経由で入力されたもの、すなわちネット入力フラグが「ＯＮ」であるもの、があるか否かを判定する（Ｓ５４）。Ｓ５４の判定結果がＹｅｓの場合、管理情報変更処理部１６０は、そのボックスの入出力属性の変更を不許可とする（Ｓ５６）。この場合、管理情報変更処理部１６０は、例えば、対象のボックス内に機密保持が要求される文書があるため、入出力属性の変更操作ができないこと等を示すメッセージを（複合機１００の表示装置１０７等に）表示する。このメッセージを見たユーザは、そのボックスの入出力属性の変更の必要性を吟味し、必要ありと判断した場合には、例えば管理者権限でそのボックス内の文書を別の保存領域に移動させるなどの対処を行った後、再びそのボックスの入出力属性の変更操作を行う。

ネットワーク経由で入力された文書は、表計算ソフトやワードプロセッサソフトなどのアプリケーションで生成された文書ファイルであることが多い。そのような文書が流出するとその文書が含んでいる情報が抽出されやすく、不正な再利用がされやすいので、想定外のネットワークへの流出を避けるためにボックスの入出力属性の変更を禁止するのである。これに対し、スキャン入力された文書やファクシミリで受信した文書は、画像データなのでアプリケーションのファイルに比べて情報の不正抽出や不正利用のリスクは低い。

Ｓ５４の判定結果がＮｏの場合、管理情報変更処理部１６０は、そのボックス内の中に重要フラグが「ＯＮ」であるものがあるか否かを判定する（Ｓ５８）。Ｓ５８の判定結果がＹｅｓの場合、管理情報変更処理部１６０は、そのボックスの入出力属性の変更を不許可とする（Ｓ５６）。重要フラグがＯＮの文書は、高い機密性を要求されるため、そのような文書がボックス内にある場合には、そのボックスの入出力属性の変更を禁止するのである。

Ｓ５８の判定結果がＮｏの場合、管理情報変更処理部１６０は、そのボックスの入出力属性の変更を許可する（Ｓ５２）。この場合、そのボックス内に文書が存在するものの、文書保存時に想定されていた出力先のネットワーク以外に出力されることの防止が強く要請される「重要」な文書はボックス内には存在しないので、そのボックスの入出力属性の変更を許可するのである。

このように、図１３の処理手順によれば、文書保存時に想定されていた出力先のネットワーク以外に出力されることの防止が強く要請される文書がボックス内にある場合には、そのボックスの入出力属性の変更が禁止される。このため、文書保存時に想定されていた出力先のネットワーク以外のネットワークにボックス内の文書が出ていくリスクが低くなる。

次に、図１４を参照して、管理情報変更処理部１６０が行う処理手順の別の例を説明する。この処理手順では、文書保存時に想定されていた出力先のネットワーク以外に出力されることの防止が強く要請される文書がボックス内にある場合には、当該文書に対して転送不可を示す属性情報を付加した上で、そのボックスの入出力属性の変更を許可する。

図１４の手順のうち、Ｓ５０、Ｓ５４、及びＳ５８の各ステップは、図１３の手順の同符号のステップと同様の処理である。また、対象のボックスに文書がない場合（Ｓ５０の判定結果がＮｏ）、及び対象のボックスにネット経由で入力された文書及び重要フラグがＯＮに設定された文書が１つもない場合（Ｓ５４及びＳ５８の両方がＮｏ）の場合に、そのボックスの入出力属性の変更を許可する（Ｓ６２）のも図１３の手順と同様である。

図１４の手順では、Ｓ５４またはＳ５８の判定結果がＹｅｓとなった場合、管理情報変更処理部１６０は、そのボックス内にある、ネット経由で入力された文書又は重要フラグがＯＮに設定された文書に転送不可属性を付加する（Ｓ６０）。そして、そのボックスの入出力属性の変更を許可する（Ｓ６２）。

入出力制御部１１３は、ユーザからボックス内の文書について転送の指示（ローカルＵＩからの転送指示）又は取り出しの指示（リモートからのダウンロード指示）を受けた場合、その文書に転送不可属性が設定されているか否かを判定する。転送不可属性が設定されている場合は、その転送又は取り出しの指示を拒絶し、転送不可の旨を示すメッセージをユーザに返す。転送不可属性が設定されていない場合には、図６、図７等に示した処理手順に従って転送又は取り出しの可否を判定する。

次に、図１５を参照して、管理情報変更処理部１６０が行う処理手順の更に別の例を説明する。この処理手順では、文書保存時に想定されていた出力先のネットワーク以外に出力されることの防止が強く要請される文書がボックス内にある場合には、当該文書を退避用ボックスに移動した上で、そのボックスの入出力属性の変更を許可する。

すなわち、図１５の手順では、管理情報変更処理部１６０は、あるボックスについてのボックス入出力情報の変更指示を受けると、そのボックスに文書があるか否かを判定し（Ｓ６０）する。そして、この判定の結果がＹｅｓの場合は、ネットワーク経由での文書の出力（転送又はダウンロード）を不可とする入出力属性（ボックス入力情報）を設定した退避用ボックスを新たに生成し（Ｓ６２）、そのボックス内の文書群をその退避用ボックスに移動する（Ｓ６４）。これにより、入出力属性の変更対象であるそのボックスの中に文書はなくなる。そして、管理情報変更処理部１６０は、そのボックスの入出力属性の変更を許可する（Ｓ６６）。なお、Ｓ６０の判定結果がＮｏの場合は、図１３の手順と同様、そのボックスの入出力属性の変更を許可する（Ｓ６６）。

管理情報変更処理部１６０は、退避用ボックスに文書を退避した場合、入出力属性の変更対象のボックスの管理者に、電子メール等で退避を行った旨を通知してもよい。この通知には、退避用ボックスの識別名、及びそのボックスに設定したパスワード（もしあれば）等、退避した文書を取り出すのに必要な情報を含めてもよい。

以上の例では、退避用ボックスの入出力属性にはネットワーク経由での文書の出力（転送又は取り出し）が不可に設定したが、この代わりに、入出力属性の変更対象のボックスの入出力属性を退避用ボックスにコピーしてもよい。また、退避用ボックスを新たに生成する代わりに、ネットワーク経由での文書の出力が不可に設定された既存の退避用ボックスに、入出力属性の変更対象のボックス内の文書を移動してもよい。

以上の例では、管理情報変更処理部１６０は、ボックスの入出力属性の変更内容に関わりなく、ボックスの状態、すなわち文書保存時に想定されていた出力先のネットワーク以外に出力されることの防止が強く要請される文書がそのボックス内にあるか否かの状態に基づいて、変更操作を許可するか否かを判定した。この代わりに、その判定を、ボックスの入出力属性の変更内容を考慮に入れて行ってもよい。例えば、管理情報変更処理部１６０は、対象のボックスの入出力属性の変更の指示をユーザから受け付け、指示された変更後の入出力属性が、そのボックスからのネットワークインタフェース１２０経由での文書の出力（転送又は取り出し）を不可とするものであれば、その変更を許可する。逆に、指示された変更後の入出力属性が、そのボックスからいずれかのネットワークインタフェース１２０経由して文書を出力可能とするものであれば、その変更を不許可とする。

また、管理情報変更処理部１６０は、ボックスの入出力属性の変更指示を行ったのが、複合機１００の管理者である場合には、無条件で変更を許可してもよい。

以上、本発明の実施形態を説明した。以上に例示した複合機１００の主制御部１１０は、例えば、複合機１００に内蔵されるコンピュータにそれら各装置内の各機能モジュールの機能を表すプログラムを実行させることにより実現してもよい。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ（一次記憶）、ＨＤＤ（ハードディスクドライブ）を制御するＨＤＤコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバスを介して接続された回路構成を有する。また、そのバスに対し、例えばＩ／Ｏインタフェース経由で、ＣＤやＤＶＤなどの可搬型ディスク記録媒体に対する読み取り及び／又は書き込みのためのディスクドライブ、フラッシュメモリなどの各種規格の可搬型の不揮発性記録媒体に対する読み取り及び／又は書き込みのためのメモリリーダライタ、などが接続されてもよい。上に例示した各機能モジュールの処理内容が記述されたプログラムがＣＤやＤＶＤ等の記録媒体を経由して、又はネットワーク等の通信手段経由で、ハードディスクドライブ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されＣＰＵ等のプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。

１００ 複合機、１０１ スキャナ、１０３ プリンタ、１０５ ファクシミリ装置、１０７ 表示装置、１０９ 不揮発性記憶装置、１１０ 主制御部、１１１ ボックス記憶部、１１３ 入出力制御部、１１４ 文書属性付加部、１１５ 入出力先判定部、１１７ ボックス認証部、１１９ 管理情報記憶部、１２０ ネットワークインタフェース、１６０ 管理情報変更処理部、２００ コンピュータ。

Claims (11)

1. 複数のネットワークインタフェースと、
   データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、
   前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段と、
   を含み、
   前記状態は、前記変更指示を受けた時点で前記保存領域に保存されているデータがあるかないかを示す状態であり、
   前記所定条件は、前記変更指示を受けた時点で、前記保存領域内にデータがあることである、情報処理装置。
2. 複数のネットワークインタフェースと、
   データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、
   前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段と、
   前記保存領域に保存したデータごとに、そのデータが前記複数のネットワークインタフェースのいずれかを経由して入力されたものか否かを記憶する手段と、
   を含み、
   前記状態は、前記変更指示を受けた時点で前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあるか否かを示す状態であり、
   前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあることである、情報処理装置。
3. 複数のネットワークインタフェースと、
   データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、
   前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段と、
   を含み、
   前記状態は、前記変更指示を受けた時点で前記保存領域内に予め定められた重要データ条件を満たすデータがあるかないかを示す状態であり、
   前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記重要データ条件を満たすデータがあることである、情報処理装置。
4. 前記変更指示が、前記複数のネットワークインタフェースのいずれも前記出力経路として許可しない旨を示す属性への変更を指示するものである場合には、前記状態が前記所定条件を満たす場合でも、前記変更指示に対応する前記属性の変更を実行する、請求項１～３のいずれか１項に記載の情報処理装置。
5. 前記変更制御手段は、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しないことに代えて、前記変更指示を受けた時点で前記保存領域内にあるデータの転送を禁止した上で、前記変更指示に対応する前記属性の変更を実行する、請求項１～３のいずれか１項に記載の情報処理装置。
6. 前記変更制御手段は、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しないことに代えて、前記変更指示を受けた時点で前記保存領域内にあるデータを別の保存領域に退避させた上で、前記変更指示に対応する前記属性の変更を実行する、請求項１～３のいずれか１項に記載の情報処理装置。
7. 前記変更制御手段は、前記状態が所定条件を満たす場合に、前記複数のネットワークインタフェースのいずれも前記出力経路として許可しない旨を示す属性、又は前記保存領域に対応付けられた前記属性と同じ属性、を持つ保存領域を前記別の保存領域として新たに生成し、当該別の保存領域に前記保存領域のデータを退避させる、請求項６に記載の情報処理装置。
8. 前記変更制御手段は、前記変更指示を行った者が前記情報処理装置の管理者である場合には、前記変更指示に従って前記属性を変更する、請求項１～７のいずれか１項に記載の情報処理装置。
9. 複数のネットワークインタフェースと、
   データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、
   を備えるコンピュータを、
   前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段であって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段、
   として機能させるためのプログラムであって、
   前記状態は、前記変更指示を受けた時点で前記保存領域に保存されているデータがあるかないかを示す状態であり、
   前記所定条件は、前記変更指示を受けた時点で、前記保存領域内にデータがあることである、プログラム。
10. 複数のネットワークインタフェースと、
    データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、
    前記保存領域に保存したデータごとに、そのデータが前記複数のネットワークインタフェースのいずれかを経由して入力されたものか否かを記憶する手段と、
    を備えるコンピュータを、
    前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段あって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段、
    として機能させるためのプログラムであって、
    前記状態は、前記変更指示を受けた時点で前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあるか否かを示す状態であり、
    前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記複数のネットワークインタフェースのいずれかを経由して入力されたデータがあることである、プログラム。
11. 複数のネットワークインタフェースと、
    データを保存する保存領域であって、保存しているデータの出力経路として許可されるネットワークインタフェースを規定する属性が対応付けられている保存領域と、
    を備えるコンピュータを、
    前記属性の変更指示を受けた時点での前記保存領域内のデータの有無に関する状態に応じて前記変更指示に対応する前記属性の変更を制御する変更制御手段あって、前記状態が所定条件を満たす場合に、前記変更指示に対応する前記属性の変更を実行しない、変更制御手段、
    として機能させるためのプログラムであって、
    前記状態は、前記変更指示を受けた時点で前記保存領域内に予め定められた重要データ条件を満たすデータがあるかないかを示す状態であり、
    前記所定条件は、前記変更指示を受けた時点で、前記保存領域内に前記重要データ条件を満たすデータがあることである、プログラム。

Images