(57)【要約】【課題】  本発明は、機密性のある文書を印刷した印刷物の流出による情報漏洩の抑止力を強化した文書セキュリティサーバ、文書セキュリティシステム並びにそれらの制御方法及び制御プログラムを提供することを目的とする。【解決手段】  本発明に係る文書セキュリティサーバは、操作者が印刷物廃棄装置を使用して廃棄した印刷物の枚数を示す廃棄枚数情報及び／又は操作者が適切な収納装置に収納した印刷物の枚数を示す収納枚数情報に関する廃棄・収納情報を取得する処分情報取得手段と、処分情報取得手段により取得された廃棄・収納情報に基づいて、ドアを解錠するか否かを判定する解錠判定手段とを有することを特徴とする。【選択図】図１
2010121423.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークを介して施錠可能なドアと接続され、操作者毎に文書毎の出力可否を規定した文書セキュリティ情報を有する文書セキュリティサーバであって、
操作者から出力要求のあった文書に対し、前記文書セキュリティ情報に基づいて、該文書を印刷物として出力させるか否かを判定する出力可否判定手段と、
前記出力可否判定手段により出力すると判定した場合、前記印刷物を識別するための印刷物識別情報を付した該印刷物を出力させる印刷出力手段と、
前記印刷物識別情報を利用して、前記操作者が印刷物廃棄装置を使用して廃棄した前記印刷物及び／又は前記操作者が適切な収納装置に収納した前記印刷物に関する廃棄・収納情報を取得する処分情報取得手段と、
前記処分情報取得手段により取得された前記廃棄・収納情報に基づいて、前記ドアを解錠するか否かを判定する解錠判定手段と、を有することを特徴とする文書セキュリティサーバ。
【請求項２】
前記文書セキュリティ情報は、前記操作者毎及び前記文書毎に、前記印刷物を廃棄する処理及び該印刷物を収納する処理のうち、該印刷物に対し実行すべき処理内容を規定する情報を含み、
前記廃棄・収納情報は、前記印刷物毎に前記文書セキュリティ情報に基づき実行されるべき処理内容を含み、
前記解錠判定手段は、前記印刷物に関して、前記文書セキュリティ情報に基づき実行されるべき処理内容と前記操作者が実行した処理内容とが一致した場合、前記ドアを解錠すると判定することを特徴とする請求項１に記載の文書セキュリティサーバ。
【請求項３】
前記廃棄・収納情報は、前記廃棄した印刷物の枚数を示す廃棄枚数情報及び／又は前記収納した印刷物の枚数を示す収納枚数情報、並びに出力された前記印刷物の枚数を示す印刷枚数情報をさらに含み、
前記解錠判定手段は、前記印刷枚数情報と前記廃棄枚数情報とが一致した場合、又は、前記印刷枚数情報と前記収納枚数情報とが一致した場合、又は、前記廃棄枚数情報と前記収納枚数情報との合計が前記印刷枚数情報と一致した場合、前記ドアを解錠すると判定することを特徴とする請求項１又は２に記載の文書セキュリティサーバ。
【請求項４】
前記印刷物廃棄装置は、前記印刷物を細断する際に、該印刷物から前記印刷物識別情報を抽出する識別情報抽出手段を有するシュレッダーであって、
前記処分情報取得手段は、前記シュレッダーから前記印刷物識別情報と前記印刷物を廃棄した旨の情報とを取得することを特徴とする請求項１乃至３の何れか一に記載の文書セキュリティサーバ。
【請求項５】
前記収納装置は、前記印刷物毎に予め定められ、該印刷物から前記印刷物識別情報を抽出する識別情報抽出手段を有するキャビネットであって、
前記処分情報取得手段は、前記キャビネットから前記印刷物識別情報と前記印刷物を収納した旨の情報とを取得することを特徴とする請求項１乃至４の何れか一に記載の文書セキュリティサーバ。
【請求項６】
前記解錠判定手段は、所定の管理者による解錠許可に基づいて、前記ドアを解錠すると判定することを特徴とする請求項１乃至５の何れか一に記載の文書セキュリティサーバ。
【請求項７】
通信ネットワークを介して施錠可能なドアと接続され、操作者毎に文書毎の出力可否を規定した文書セキュリティ情報を有する文書セキュリティサーバのサーバ制御方法であって、
出力可否判定手段が、操作者から出力要求のあった文書に対し、前記文書セキュリティ情報に基づいて、該文書を印刷物として出力させるか否かを判定するステップと、
前記出力可否判定手段により出力すると判定した場合、印刷出力手段が、前記印刷物を識別するための印刷物識別情報を付した該印刷物を出力させるステップと、
処分情報取得手段が、前記印刷物識別情報を利用して、前記操作者が印刷物廃棄装置を使用して廃棄した前記印刷物及び／又は前記操作者が適切な収納装置に収納した前記印刷物に関する廃棄・収納情報を取得するステップと、
解錠判定手段が、前記処分情報取得手段により取得された前記廃棄・収納情報に基づいて、前記ドアを解錠するか否かを判定するステップと、を有することを特徴とするサーバ制御方法。
【請求項８】
前記文書セキュリティ情報は、前記操作者及び前記文書毎に、前記印刷物を廃棄する処理及び該印刷物を収納する処理のうち、該印刷物に対し実行すべき処理内容を規定する情報を含み、
前記廃棄・収納情報は、前記印刷物毎に前記文書セキュリティ情報に基づき実行されるべき処理内容を含み、
前記解錠判定手段は、前記印刷物に関して、前記文書セキュリティ情報に基づき実行されるべき処理内容と前記操作者が実行した処理内容とが一致した場合、前記ドアを解錠すると判定することを特徴とする請求項７に記載のサーバ制御方法。
【請求項９】
前記廃棄・収納情報は、前記廃棄した印刷物の枚数を示す廃棄枚数情報及び／又は前記収納した印刷物の枚数を示す収納枚数情報、並びに出力された前記印刷物の枚数を示す印刷枚数情報をさらに含み、
前記解錠判定手段は、前記印刷枚数情報と前記廃棄枚数情報とが一致した場合、又は、前記印刷枚数情報と前記収納枚数情報とが一致した場合、又は、前記廃棄枚数情報と前記収納枚数情報との合計が前記印刷枚数情報と一致した場合、前記ドアを解錠すると判定することを特徴とする請求項７又は８に記載のサーバ制御方法。
【請求項１０】
前記印刷物廃棄装置は、前記印刷物を細断する際に、該印刷物から前記印刷物識別情報を抽出する識別情報抽出手段を有するシュレッダーであって、
前記処分情報取得手段は、前記シュレッダーから前記印刷物識別情報と前記印刷物を廃棄した旨の情報とを取得することを特徴とする請求項７乃至９の何れか一に記載のサーバ制御方法。
【請求項１１】
前記収納装置は、前記印刷物毎に予め定められ、該印刷物から前記印刷物識別情報を抽出する識別情報抽出手段を有するキャビネットであって、
前記処分情報取得手段は、前記キャビネットから前記印刷物識別情報と前記印刷物を収納した旨の情報とを取得することを特徴とする請求項７乃至１０の何れか一に記載のサーバ制御方法。
【請求項１２】
前記解錠判定手段は、所定の管理者による解錠許可に基づいて、前記ドアを解錠すると判定することを特徴とする請求項７乃至１１の何れか一に記載のサーバ制御方法。
【請求項１３】
施錠可能なドアと、通信ネットワークを介して前記ドアと接続され、操作者毎に文書毎の出力可否を規定した文書セキュリティ情報を有する文書セキュリティサーバと、通信ネットワークを介して前記文書セキュリティサーバと接続され、印刷物を識別するための印刷物識別情報を付して該印刷物を出力する画像形成装置と、該印刷物から該印刷物識別情報を抽出する第１の識別情報抽出手段を有する印刷物廃棄装置と、該印刷物から該印刷物識別情報を抽出する第２の識別情報抽出手段を有する収納装置とを有する文書セキュリティシステムであって、
前記文書セキュリティサーバは、
操作者から出力要求のあった文書に対し、前記文書セキュリティ情報に基づいて、該文書を印刷物として出力させるか否かを判定する出力可否判定手段と、
前記出力可否判定手段により出力すると判定した場合、前記画像形成装置に対して前記印刷物を出力させる印刷出力手段と、
前記印刷物識別情報を利用して、前記操作者が印刷物廃棄装置を使用して廃棄した前記印刷物及び／又は前記操作者が適切な収納装置に収納した前記印刷物に関する廃棄・収納情報を取得する処分情報取得手段と、
前記処分情報取得手段により取得された前記廃棄・収納情報に基づいて、前記ドアを解錠するか否かを判定する解錠判定手段と、を有し、
前記ドアは、
前記解錠判定手段により前記ドアを解錠すると判定された場合、解錠する解錠手段を有することを特徴とする文書セキュリティシステム。
【請求項１４】
前記文書セキュリティ情報は、前記操作者及び前記文書毎に、前記印刷物を廃棄する処理及び該印刷物を収納する処理のうち、該印刷物に対し実行すべき処理内容を規定する情報を含み、
前記廃棄・収納情報は、前記印刷物毎に前記文書セキュリティ情報に基づき実行されるべき処理内容を含み、
前記解錠判定手段は、前記印刷物に関して、前記文書セキュリティ情報に基づき実行されるべき処理内容と前記操作者が実行した処理内容とが一致した場合、前記ドアを解錠すると判定することを特徴とする請求項１３に記載の文書セキュリティシステム。
【請求項１５】
前記廃棄・収納情報は、前記廃棄した印刷物の枚数を示す廃棄枚数情報及び／又は前記収納した印刷物の枚数を示す収納枚数情報、並びに出力された前記印刷物の枚数を示す印刷枚数情報をさらに含み、
前記解錠判定手段は、前記印刷枚数情報と前記廃棄枚数情報とが一致した場合、又は、前記印刷枚数情報と前記収納枚数情報とが一致した場合、又は、前記廃棄枚数情報と前記収納枚数情報との合計が前記印刷枚数情報と一致した場合、前記ドアを解錠すると判定することを特徴とする請求項１３又は１４に記載の文書セキュリティシステム。
【請求項１６】
前記印刷物廃棄装置は、前記印刷物を細断するためのシュレッダーであって、
前記印刷物廃棄装置は、
前記文書セキュリティサーバに対し、前記印刷物を細断する際に前記第１の識別情報抽出手段により抽出した前記印刷物識別情報と、前記印刷物を廃棄した旨の情報とを通知する廃棄情報通知手段を有することを特徴とする請求項１３乃至１５の何れか一に記載の文書セキュリティシステム。
【請求項１７】
前記収納装置は、前記印刷物毎に予め定められ、前記印刷物を収納するためのキャビネットであって、
前記収納装置は、
前記文書セキュリティサーバに対し、前記第２の識別情報抽出手段により抽出した前記印刷物識別情報と、前記印刷物を収納した旨の情報とを通知する収納情報通知手段を有することを特徴とする請求項１３乃至１６の何れか一に記載の文書セキュリティシステム。
【請求項１８】
前記解錠判定手段は、所定の管理者による解錠許可に基づいて、前記ドアを解錠すると判定することを特徴とする請求項１３乃至１７の何れか一に記載の文書セキュリティシステム。
【請求項１９】
施錠可能なドアと、通信ネットワークを介して前記ドアと接続され、操作者毎に文書毎の出力可否を規定した文書セキュリティ情報を有する文書セキュリティサーバと、通信ネットワークを介して前記文書セキュリティサーバと接続され、印刷物を識別するための印刷物識別情報を付して該印刷物を出力する画像形成装置と、該印刷物から該印刷物識別情報を抽出する第１の識別情報抽出手段を有する印刷物廃棄装置と、該印刷物から該印刷物識別情報を抽出する第２の識別情報抽出手段を有する収納装置とを有する文書セキュリティシステムのシステム制御方法であって、
前記文書セキュリティサーバは、
出力可否判定手段が、操作者から出力要求のあった文書に対し、前記文書セキュリティ情報に基づいて、該文書を印刷物として出力させるか否かを判定するステップと、
前記出力可否判定手段により出力すると判定した場合、印刷出力手段が、前記画像形成装置に対して前記印刷物を出力させるステップと、
処分情報取得手段が、前記印刷物識別情報を利用して、前記操作者が印刷物廃棄装置を使用して廃棄した前記印刷物及び／又は前記操作者が適切な収納装置に収納した前記印刷物に関する廃棄・収納情報を取得するステップと、
解錠判定手段が、前記処分情報取得手段により取得された前記廃棄・収納情報に基づいて、前記ドアを解錠するか否かを判定するステップと、を有し、
前記ドアは、
前記解錠判定手段により前記ドアを解錠すると判定された場合、解錠手段が、解錠するステップを有することを特徴とするシステム制御方法。
【請求項２０】
コンピュータに、請求項７乃至１２の何れか一に記載のサーバ制御方法又は請求項１９に記載のシステム制御方法を実行させるための制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、記録媒体上に出力した文書について情報漏洩の抑止力強化を図る技術に関する。
【背景技術】
【０００２】
企業は自らが持つ機密情報が漏洩するリスクを抱えている。例えば、機密情報として経営戦略情報、新商品情報、技術戦略情報、人事情報などがあり、これらは漏洩すると多額の経済的損失につながり得る情報である。また、企業の機密情報の漏洩は内部の関係者による犯行が多いと言われており、情報漏洩には電子文書の流出による漏洩と印刷文書の流出による漏洩の２通りがある。
【０００３】
そこで、電子文書の流出による情報漏洩を適切に抑制するために、例えば、情報処理システムに対して組織のセキュリティポリシーを適用可能とし、電子文書のセキュリティを確保するアクセス制御判断システムに関する技術が提案されている（特許文献１）。
【特許文献１】特開２００５−３８３７２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、上記技術においては、印刷・コピーされた機密印刷文書を渡す側と渡される側とが結託をしていれば渡す側には何のペナルティも受けずに渡すことが可能なため、抑止力が十分ではないという問題点がある。
【０００５】
また、上記技術においては、権限を持ち印刷・コピーを実行した当人が機密印刷文書を持ち帰ることも阻止することができないという問題点もある。
【０００６】
そこで、本発明では、機密性のある文書を印刷した印刷物の流出による情報漏洩の抑止力を強化した文書セキュリティサーバ、文書セキュリティシステム並びにそれらの制御方法及び制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
最近、企業内を流通する機密文書のオリジナルはほとんどが電子文書である。つまり、機密印刷文書は、機密電子文書を印刷することで発生し、また、それらがコピーされることで増殖する。本発明では、機密印刷文書が発生・増殖するイベントをその操作者ＩＤと共に検知し、生成された機密印刷文書の全てが廃棄若しくは施錠されたキャビネット内へ保管されるなど適切な処置を施されない限り、機密印刷文書を生成した者を所定の領域外へ出さないようにすることで機密印刷文書の流出による情報漏洩の抑止力強化を図る。
【０００８】
本発明に係る文書セキュリティサーバは、通信ネットワークを介して施錠可能なドアと接続され、操作者毎に文書毎の出力可否を規定した文書セキュリティ情報を有する文書セキュリティサーバであって、操作者から出力要求のあった文書に対し、前記文書セキュリティ情報に基づいて、該文書を印刷物として出力させるか否かを判定する出力可否判定手段と、前記出力可否判定手段により出力すると判定した場合、前記印刷物を識別するための印刷物識別情報を付した該印刷物を出力させる印刷出力手段と、前記印刷物識別情報を利用して、前記操作者が印刷物廃棄装置を使用して廃棄した前記印刷物及び／又は前記操作者が適切な収納装置に収納した前記印刷物に関する廃棄・収納情報を取得する処分情報取得手段と、前記処分情報取得手段により取得された前記廃棄・収納情報に基づいて、前記ドアを解錠するか否かを判定する解錠判定手段とを有することを特徴とする。
【０００９】
また、本発明に係る文書セキュリティシステムは、施錠可能なドアと、通信ネットワークを介して前記ドアと接続され、操作者毎に文書毎の出力可否を規定した文書セキュリティ情報を有する文書セキュリティサーバと、通信ネットワークを介して前記文書セキュリティサーバと接続され、印刷物を識別するための印刷物識別情報を付して該印刷物を出力する画像形成装置と、該印刷物から該印刷物識別情報を抽出する第１の識別情報抽出手段を有する印刷物廃棄装置と、該印刷物から該印刷物識別情報を抽出する第２の識別情報抽出手段を有する収納装置とを有する文書セキュリティシステムであって、前記文書セキュリティサーバは、操作者から出力要求のあった文書に対し、前記文書セキュリティ情報に基づいて、該文書を印刷物として出力させるか否かを判定する出力可否判定手段と、前記出力可否判定手段により出力すると判定した場合、前記画像形成装置に対して前記印刷物を出力させる印刷出力手段と、前記印刷物識別情報を利用して、前記操作者が印刷物廃棄装置を使用して廃棄した前記印刷物及び／又は前記操作者が適切な収納装置に収納した前記印刷物に関する廃棄・収納情報を取得する処分情報取得手段と、前記処分情報取得手段により取得された前記廃棄・収納情報に基づいて、前記ドアを解錠するか否かを判定する解錠判定手段と、を有し、前記ドアは、前記解錠判定手段により前記ドアを解錠すると判定された場合、解錠する解錠手段を有することを特徴とする。
【００１０】
したがって、本発明は機密性のある文書を印刷した印刷物の流出による情報漏洩の抑止力を強化した文書セキュリティサーバ、文書セキュリティシステムを提供することができる。
【発明の効果】
【００１１】
本発明では、機密性のある文書を印刷した印刷物の流出による情報漏洩の抑止力を強化した文書セキュリティサーバ、文書セキュリティシステム並びにそれらの制御方法及び制御プログラムを提供することができる。
【発明を実施するための最良の形態】
【００１２】
図面を参照しながら、本発明を実施するための最良の形態について説明する。
（本実施の形態に係る文書セキュリティシステムの動作原理）
図１を用いて、本実施の形態に係る文書セキュリティシステム１００の動作原理について説明する。図１で示すように、文書セキュリティシステム１００は、文書セキュリティサーバ２００、画像形成装置３００、印刷物廃棄装置４００、収納装置５００、施錠可能なドア６００を有する。
【００１３】
以下で、図２−５を用いて、文書セキュリティサーバ２００、画像形成装置３００、印刷物廃棄装置４００、収納装置５００、ドア６００のハードウェア構成の一例を説明する。
図２で示すように、文書セキュリティサーバ２００は、ＣＰＵ（Central Processing Unit）８１０、ＲＯＭ（Read-Only Memory）８２０、ＲＡＭ（Random Access Memory）８３０、ＨＤＤ（Hard Disc Drive）８４０、通信Ｉ／Ｆ（Interface）８５０、表示装置８６０を有する。
【００１４】
ＣＰＵ８１０は、ＲＯＭ８２０に記憶されたプログラムを実行する装置であり、ＲＡＭ８３０に展開（ロード）されたデータを、プログラムの命令に従って演算処理し、文書セキュリティサーバ２００の全体を制御する。ＲＯＭ８２０は、ＣＰＵ８１０が実行するプログラムやデータを記憶している。ＲＡＭ８３０は、ＣＰＵ８１０でＲＯＭ８２０に記憶されたプログラムを実行する際に、実行するプログラムやデータが展開（ロード）され、演算の間、演算データを一時的に保持する。ＨＤＤ８４０は、基本ソフトウェアであるＯＳ（Operating System）や本実施の形態に係るアプリケーションプログラムなどを、関連するデータとともに記憶する装置である。
【００１５】
通信Ｉ／Ｆ８５０は、無線又は有線の通信ネットワークを介して接続された他の通信制御機能を備えた周辺機器（例えば、画像形成装置３００、印刷物廃棄装置４００、収納装置５００、ドア６００等）と情報（データ）を送受信するためのインタフェースである。本実施の形態に係る文書セキュリティサーバ２００は、通信Ｉ／Ｆ８５０を介してＬＡＮに接続され、ＴＣＰ／ＩＰ（Transmission Control Protocol ／ Internet Protocol）などの通信プロトコルに従って、ＬＡＮに接続された他装置と各種データの送受信を行う。
【００１６】
表示装置８６０は、ハードキーによるキースイッチやＬＣＤ（Liquid Crystal Display）等で構成され、文書セキュリティサーバ２００が有する機能をユーザが利用する際や各種設定を行う際のユーザインタフェースとして機能する装置である。
【００１７】
文書セキュリティサーバ２００が有する各手段は、ＣＰＵ８１０が、ＲＯＭ８２０又はＨＤＤ８４０に記憶された各手段に対応するプログラムを実行することにより実現される形態としても良いし、当該各手段に関する処理をハードウェアで実現する形態としても良い。
【００１８】
次に図３で示すように、画像形成装置３００は、ＣＰＵ９１０、ＲＯＭ９２０、ＲＡＭ９３０、ＨＤＤ９４０、通信Ｉ／Ｆ９５０、スキャナ９６０、プロッタ９７０、表示装置９８０を有する。
【００１９】
ＣＰＵ９１０は、ＲＯＭ９２０に記憶されたプログラムを実行する装置であり、ＲＡＭ９３０に展開（ロード）されたデータを、プログラムの命令に従って演算処理し、画像形成装置３００の全体を制御する。ＲＯＭ９２０は、ＣＰＵ９１０が実行するプログラムやデータを記憶している。ＲＡＭ９３０は、ＣＰＵ９１０でＲＯＭ９２０に記憶されたプログラムを実行する際に、実行するプログラムやデータが展開（ロード）され、演算の間、演算データを一時的に保持する。ＨＤＤ９４０は、基本ソフトウェアであるＯＳや本実施の形態に係るアプリケーションプログラムなどを、関連するデータとともに記憶する装置である。
【００２０】
通信Ｉ／Ｆ９５０は、無線又は有線の通信ネットワークを介して接続された他の通信制御機能を備えた周辺機器（例えば、文書セキュリティサーバ２００、ユーザ端末７００等）と情報（データ）を送受信するためのインタフェースである。本実施の形態に係る画像形成装置３００は、通信Ｉ／Ｆ９５０を介してＬＡＮに接続され、ＴＣＰ／ＩＰなどの通信プロトコルに従って、ＬＡＮに接続された文書セキュリティサーバ２００及びユーザ端末７００と各種データの送受信を行う。
【００２１】
スキャナ９６０は、原稿の画像データを取得するための装置である。また、プロッタ９７０は、画像データを記録媒体（例えば、紙）上に出力するための装置である。
【００２２】
表示装置８６０は、ハードキーによるキースイッチやＬＣＤ等で構成され、画像形成装置３００が有する機能をユーザが利用する際や各種設定を行う際のユーザインタフェースとして機能する装置である。
【００２３】
画像形成装置３００が有する各手段は、ＣＰＵ９１０が、ＲＯＭ９２０又はＨＤＤ９４０に記憶された各手段に対応するプログラムを実行することにより実現される形態としても良いし、当該各手段に関する処理をハードウェアで実現する形態としても良い。
【００２４】
図４で示すように、印刷物廃棄装置４００は、挿入した媒体を裁断するための細断装置１０１０、識別情報取得装置１０２０、文書セキュリティサーバ２００とデータ通信を行うための通信Ｉ／Ｆ１０３０を有する。例えば、印刷物廃棄装置４００は、シュレッダーであっても良い。
【００２５】
ここで、識別情報取得装置１０２０は、細断装置１０１０に挿入した媒体から該媒体を識別するための媒体識別情報を取得するための装置である。例えば、識別情報取得装置１０２０は、印刷物に付されたバーコード、ＱＲコード、トッドパターン等で表される識別情報をスキャンして取得する装置である。また、識別情報取得装置１０２０は、細断装置１０１０に媒体を挿入するユーザの識別情報を取得する装置でもある。例えば、識別情報取得装置１０２０は、ユーザが有するカード等から該ユーザを識別するユーザ識別情報を取得する装置であり、接触型であっても非接触型であっても良い。
【００２６】
識別情報取得装置１０２０により取得した媒体識別情報及びユーザ識別情報は、通信Ｉ／Ｆ１０３０を介して文書セキュリティサーバ２００に通知される。
【００２７】
図５で示すように、収納装置５００は、媒体を収納するための収納装置１１１０、識別情報取得装置１１２０、文書セキュリティサーバ２００とデータ通信を行うための通信Ｉ／Ｆ１１３０を有する。例えば、収納装置５００は、キャビネットであっても良い。
【００２８】
ここで、識別情報取得装置１１２０は、収納装置１１１０に収納した媒体から該媒体を識別するための媒体識別情報を取得するための装置である。例えば、識別情報取得装置１１２０は、印刷物に付されたバーコード、ＱＲコード、トッドパターン等で表される識別情報をスキャンして取得する装置である。また、識別情報取得装置１１２０は、収納装置１１１０に媒体を収納するユーザの識別情報を取得する装置でもある。例えば、識別情報取得装置１１２０は、ユーザが有するカード等から該ユーザを識別するユーザ識別情報を取得する装置であり、接触型であっても非接触型であっても良い。
【００２９】
識別情報取得装置１１２０により取得した媒体識別情報及びユーザ識別情報は、通信Ｉ／Ｆ１１３０を介して文書セキュリティサーバ２００に通知される。
【００３０】
図６で示すように、施錠可能なドア６００は、ドア６００を施錠するための鍵が付いたドア１２１０、ユーザＩＤ取得装置１２２０、通信Ｉ／Ｆ１２３０を有する。
ここで、ユーザＩＤ取得装置１２２０は、ユーザが有するカード等から該ユーザを識別するユーザ識別情報を取得する装置であり、接触型であっても非接触型であっても良い。ユーザＩＤ取得装置１２２０により取得したユーザ識別情報は、通信Ｉ／Ｆ１２３０を介して文書セキュリティサーバ２００に通知される。
【００３１】
ここからは、図１を用いて、文書セキュリティシステム１００の構成要素毎に動作原理を説明する。はじめに、画像形成装置３００は、印刷手段３１０を有する。印刷手段３１０は、ユーザ端末７００から電子文書の記録媒体上への印刷要求を受け付けると、その後、当該電子文書の識別情報とユーザ識別情報とを文書セキュリティサーバ２００に通知し、当該印刷要求の実行の可否を通知するよう要求する。
【００３２】
そして、文書セキュリティサーバ２００から当該印刷要求の実行を可とする通知を受けた場合、印刷手段３１０は、印刷要求の有った電子文書を識別するための印刷物識別情報を記録媒体上に印刷すると共に、該印刷要求の有った電子文書を記録媒体上に印刷する。
【００３３】
また、印刷手段３１０は、印刷物のコピー要求と該コピー要求を行ったユーザのユーザ識別情報を取得する。印刷手段３１０は、該コピー要求のあった印刷物から該印刷物を識別する印刷物識別情報を抽出した後、該印刷物識別情報とユーザ識別情報とを文書セキュリティサーバ２００に通知し、当該コピー要求の実行の可否を通知するよう要求する。ここで、ユーザ識別情報は、カードリーダ等で読み取って取得する形態であっても良く、表示装置９８０からの入力によって取得する形態であっても良い。また、印刷物識別情報は、該印刷物に付されたバーコード、ＱＲコード、トッドパターン等で表される識別情報であっても良い。
【００３４】
そして、文書セキュリティサーバ２００から当該コピー要求の実行を可とする通知を受けた場合、印刷手段３１０は、コピー要求の有った印刷物を識別するための印刷物識別情報を記録媒体上に印刷すると共に、該コピー要求の有った印刷物を記録媒体上に印刷する。
【００３５】
印刷物廃棄装置４００（例えば、シュレッダー）は、第１の識別情報抽出手段４１０、廃棄情報通知手段４２０を有する。第１の識別情報抽出手段４１０は、ユーザが細断装置１０１０によって印刷物を細断する際、該印刷物から該印刷物を識別する印刷物識別情報を抽出する。例えば、第１の識別情報抽出手段４１０は、該印刷物に付されたバーコード、ＱＲコード、トッドパターン等をスキャンし、印刷物識別情報を抽出する。
【００３６】
また、第１の識別情報抽出手段４１０は、ユーザが細断装置１０１０によって印刷物を細断する際、該ユーザのユーザ識別情報を取得する。例えば、第１の識別情報抽出手段４１０は、カードリーダ等で読み取って取得する形態であっても良い。
【００３７】
廃棄情報通知手段４２０は、第１の識別情報抽出手段４１０によって抽出、取得された印刷物識別情報及びユーザ識別情報と該印刷物識別情報に対応する印刷物を廃棄した旨とを、通信Ｉ／Ｆ１０３０を介して、文書セキュリティサーバ２００に通知する。ここで、印刷物を廃棄した旨とは、単に印刷物を廃棄した事実を通知する形態であっても良く、廃棄した印刷物の枚数を通知する形態であっても良い。
【００３８】
収納装置５００（例えば、キャビネット）は、第２の識別情報抽出手段５１０、収納情報通知手段５２０を有する。第２の識別情報抽出手段５１０は、ユーザが収納装置１１１０に印刷物を収納した際、該印刷物から該印刷物を識別する印刷物識別情報を抽出する。例えば、第２の識別情報抽出手段５１０は、該印刷物に付されたバーコード、ＱＲコード、トッドパターン等をスキャンし、印刷物識別情報を抽出する。
【００３９】
また、第２の識別情報抽出手段５１０は、ユーザが収納装置１１１０によって印刷物を収納する際、該ユーザのユーザ識別情報を取得する。例えば、第２の識別情報抽出手段５１０は、カードリーダ等で読み取って取得する形態であっても良い。
【００４０】
収納情報通知手段５２０は、第２の識別情報抽出手段５１０によって抽出、取得された印刷物識別情報及びユーザ識別情報と該印刷物識別情報に対応する印刷物を収納した旨とを、通信Ｉ／Ｆ１１３０を介して、文書セキュリティサーバ２００に通知する。ここで、印刷物を収納した旨とは、単に印刷物を収納した事実を通知する形態であっても良く、収納した印刷物の枚数を通知する形態であっても良い。
【００４１】
施錠可能なドア６００は、解錠手段６１０を有する。解錠手段６１０は、ユーザが鍵付きドア１２１０の鍵を解錠して該ドア１２１０を開けて外出しようとする際、該ユーザのユーザ識別情報を取得する。例えば、解錠手段６１０は、カードリーダ等で読み取って取得する形態であっても良い。そして、解錠手段６１０は、取得したユーザ識別情報を文書セキュリティサーバ２００へ通知し、当該解錠実行の可否を通知するよう要求する。
【００４２】
そして、文書セキュリティサーバ２００から当該解錠実行を可とする通知を受けた場合、解錠手段６１０は、ドア１２１０の鍵を解錠する。
【００４３】
文書セキュリティサーバ２００は、出力可否判定手段２１０、印刷出力手段２２０、処分情報取得手段２３０、解錠判定手段２４０、文書セキュリティ情報２５０、廃棄・収納情報２６０を有する。
【００４４】
文書セキュリティ情報２５０は、ユーザ毎、文書毎に規定されるセキュリティポリシーであって、印刷要求を行ったユーザが印刷要求に係る文書を印刷物として出力して良いか否かを規定する情報である。また、文書セキュリティ情報２５０は、印刷物として出力を許可する場合、該印刷物の最終処理の内容についても、ユーザ毎、文書毎に規定している。ここで、最終処理の内容とは、印刷物の細断による廃棄であっても良く、予め定められた収納装置（キャビネット等）への収納であっても良い。
【００４５】
廃棄・収納情報２６０は、出力した印刷物に対して、文書セキュリティ情報２５０にて定める最終処理がユーザによって施されたかを確認するための情報である。具体的には、廃棄・収納情報２６０は、印刷物を出力させたユーザに係るユーザ識別情報、該印刷物に係る印刷物識別情報、該印刷物の出力枚数・廃棄枚数・収納枚数、該印刷物に課される最終処理の内容を関連付けた情報である。
【００４６】
ここで、文書セキュリティ情報２５０、廃棄・収納情報２６０は、ＨＤＤ８４０にて保存又は保持される形態であっても良い。
【００４７】
出力可否判定手段２１０は、印刷手段３１０により通知された電子文書の識別情報、印刷物識別情報、ユーザ識別情報に基づいて文書セキュリティ情報２５０を検索し、印刷又はコピー要求（印刷要求）を実行して良いか否かを判定する。また、出力可否判定手段２１０は、印刷要求を実行しても良いと判定した場合、廃棄・収納情報２６０に、印刷物に関する電子文書識別情報又は印刷物識別情報、ユーザ識別情報、出力枚数、文書セキュリティ情報２５０に基づき該印刷物に課される最終処理の内容を登録する。
【００４８】
印刷出力手段２２０は、出力可否判定手段２１０によって印刷要求を実行しても良いと判定された場合、該印刷要求に係る印刷物識別情報を付した上で、該印刷物の印刷を許可する旨を印刷手段３１０に通知する。
【００４９】
また、印刷出力手段２２０は、出力可否判定手段２１０に代わって、廃棄・収納情報２６０に、印刷物に関する電子文書識別情報又は印刷物識別情報、ユーザ識別情報、出力枚数、文書セキュリティ情報２５０に基づき該印刷物に課される最終処理の内容を登録する形態としても良い。
【００５０】
処分情報取得手段２３０は、廃棄情報通知手段４２０及び収納情報通知手段５２０によって通知される情報を、廃棄・収納情報２６０に登録する。具体的には、処分情報取得手段２３０は、通知された印刷物識別情報及びユーザ識別情報に関連付けて、印刷物を廃棄又は収納した旨の情報を廃棄・収納情報２６０に登録する。
【００５１】
解錠判定手段２４０は、解錠手段６１０により通知されたユーザ識別情報に対応する廃棄・収納情報２６０に基づいて、ドア６００を解錠するか否かを判定し、その判定結果をドア６００に通知する。
【００５２】
ここで、解錠判定手段２４０は、廃棄・収納情報２６０にて保持される廃棄枚数と出力枚数が一致している場合、すなわち、出力した印刷物全てが廃棄されている場合、ドア６００を解錠すると判定しても良い。また、解錠判定手段２４０は、廃棄・収納情報２６０にて保持される収納枚数と出力枚数が一致している場合、すなわち、出力した印刷物全てが収納されている場合、ドア６００を解錠すると判定しても良い。また、解錠判定手段２４０は、廃棄・収納情報２６０にて保持される廃棄枚数及び収納枚数の合計と出力枚数が一致している場合、すなわち、出力した印刷物全てが廃棄又は収納されている場合、ドア６００を解錠すると判定しても良い。
【００５３】
さらに、解錠判定手段２４０は、印刷物に課される最終処理内容に従って、上記のように印刷物全てが処理されている場合のみ、ドア６００を解錠すると判定しても良い。また、解錠判定手段２４０は、所定の管理者が解錠許可をした場合、ドア６００を解錠すると判定しても良い。
【００５４】
本発明は、上記のような動作原理に基づいて、機密性のある文書を印刷した印刷物の流出による情報漏洩の抑止力を強化した文書セキュリティサーバ、文書セキュリティシステム並びにそれらの制御方法及び制御プログラムを提供することができる。
【００５５】
（本実施の形態に係る文書セキュリティシステムの処理例）
図７で文書セキュリティシステム１００の概要を示す。文書セキュリティシステム１００は、人事部（＋プロジェクト管理者など）、機密情報管理者、機密文書登録者、機密文書利用者の４つの主体と、文書セキュリティポリシーに従った機密文書のアクセス制御を行うセキュリティサーバ２００、文書管理システム、文書セキュリティポリシーに従った印刷又はコピー動作を行うセキュリティＭＦＰ３００（文書管理システムを含む形態であっても良い）、機密印刷物の破棄を行うＩＤシュレッダー４００、文書セキュリティポリシーに従った電子錠の開閉動作を行うセキュリティドア６００の５つのコンポーネントを有する。
【００５６】
図７についての上記説明にあったグループ管理表、文書セキュリティポリシー、文書機密レベル管理表（これらを統合したものが文書セキュリティ情報２５０となる）、機密印刷物の出力管理表、機密印刷物の処理管理表の具体例については、図８に示す。
【００５７】
図８で示すように、グループ管理表は、各ユーザＩＤがどのグループに属するかを規定する情報である。例えば、グループ「経営層」としてユーザＩＤ「１０１、１１５」が登録され、グループ「プロジェクトＡ関係者」としてユーザＩＤ「２１０、２３２、２６０、２８３」が登録され、グループ「一般社員」としてユーザＩＤ「００１、００２、００３、００４、００５」が登録されている。
【００５８】
また、図８で示すように、文書セキュリティポリシーは、セキュリティレベルと機密文書に対しアクセス可能なグループと機密文書に対し実行可能な処理内容と機密文書出力後の制限とを関連付けて規定する情報である。例えば、セキュリティレベル「極秘」であれば、アクセス可能なグループとして「経営層」が、機密文書出力後の制限として「機密印刷物を廃棄又は収納しない限り建物外に出ることを許可しない」ことが規定されている。また、セキュリティレベル「秘」であれば、アクセス可能なグループとして「プロジェクトＡ関係者」が、機密文書出力後の制限として「機密印刷物を廃棄しない限り建物外に出ることを許可しない」ことが規定されている。さらに、セキュリティレベル「社外秘」であれば、アクセス可能なグループとして「経営層、プロジェクトＡ関係者、一般社員」が、機密文書出力後の制限として「機密印刷物を廃棄又は管理者通知しない限り建物外に出ることを許可しない」ことが規定されている。
【００５９】
さらに、図８で示すように、文書機密レベル管理表は、セキュリティレベルと機密文書を識別する文書ＩＤとを関連付けて規定する情報である。例えば、セキュリティレベル「極秘」であれば文書ＩＤ「００５、０１０」が、セキュリティレベル「秘」であれば文書ＩＤ「００２、００３、００７、０１２」が、セキュリティレベル「社外秘」であれば文書ＩＤ「００１、００４、００６、００８、０１５」が規定（登録）されている。
【００６０】
一方、図８で示すように、機密印刷物の出力管理表は、機密印刷物を出力させたユーザのユーザＩＤ、出力された機密印刷物の文書ＩＤ、出力された機密印刷物の枚数、出力方法、機密印刷物出力後の制限がそれぞれ関連付けて保持されている。
【００６１】
他方、図８で示すように、機密印刷物の処理管理表は、機密印刷物を出力させたユーザのユーザＩＤ、機密印刷物の廃棄枚数及び収納枚数、所定管理者への通知の有無、廃棄枚数及び収納枚数の合計、解錠の可否がそれぞれ関連付けて保持されている。解錠の可否は、解錠判定手段２４０の判定結果を保持するものである。また、本実施の形態では、機密印刷物の出力管理表と機密印刷物の処理管理表を併せて、廃棄・収納情報２６０とする。
【００６２】
文書管理システムは、機密文書登録者が設定する文書の機密レベルを文書セキュリティサーバ２００に通知するのが主な役割であるため、例えば、文書作成を行うアプリケーションやオフィスユーザのＰＣ端末に予めインストールされるセキュリティ確保のための常駐エージェントであっても良い。
【００６３】
本発明による文書セキュリティシステム１００が導入されてから情報漏えいを防止するまでの流れを以下で詳細に説明する。
【００６４】
＜システム導入前＞
組織内では人事部やプロジェクト管理者などが組織内の人員を適切にグループ分けし、グループ管理表にグループ情報を登録していることが多く、文書セキュリティシステム１００もそのような組織運営を前提としている。人事部は営業部門、企画部門、開発部門など組織機能に応じた公式なグループ情報を登録し、動的に随時立ち上がるプロジェクトに関係するメンバーに関してはそのプロジェクト管理者がグループ情報を登録する。もし予めグループ管理表にグループ情報が登録されていない場合には、システム導入時にグループ管理表を作成することとなる。
【００６５】
＜システムの導入＞
組織の情報漏えい対策の責任者である機密情報管理者は、どのグループがどの機密レベルの文書にアクセスや印刷が可能なのかを定める（文書セキュリティポリシーの設定）。この際に印刷をした場合には紙の利用後に破棄をすること、破棄がされていない間は建物からの外出を許可しないこと等、機密文書印刷後の制限を設定する。
【００６６】
＜機密文書の登録＞
機密文書登録者は、作成された機密文書を文書管理システムへ登録する際、該機密文書の機密レベルを設定する。文書管理システムは、登録機密文書の機密レベルをセキュリティサーバ２００に通知し、文書機密レベル管理表を設定する。
【００６７】
＜機密印刷物の出力＞
機密文書利用者は、アクセス・印刷権限を有する機密文書を印刷し、印刷物として利用する。必要に応じて機密印刷文書をコピーし、会議などでの利用も可能である。
【００６８】
＜機密印刷物の廃棄、収納＞
機密文書利用者は、利用を終えた機密印刷物をシュレッダー４００にかけて破棄し、又は、キャビネット５００に収納する。または、機密文書利用者は、機密印刷物の利用を終えた場合、所定の管理者にその旨通知をする。
【００６９】
＜機密印刷物の持ち出し防止＞
機密文書利用者が機密印刷物を出力してから廃棄、収納するまでの間、機密文書利用者は建物からの外出を禁止される。
【００７０】
図９を用いて、機密文書を印刷物として出力して利用する場合の文書セキュリティシステム１００の処理の流れを説明する。
【００７１】
Ｓ１０で機密文書利用者はＩＣカード等で自分のユーザＩＤを文書管理サーバに提示し、機密文書へのアクセス・印刷を要求する。つまり、印刷手段３１０が、ユーザによる機密文書の印刷要求を受け付ける。
【００７２】
Ｓ２０で文書管理サーバはセキュリティサーバ２００にユーザＩＤ及び機密文書の文書ＩＤを提示し、印刷要求をしているユーザが機密文書にアクセス・印刷をする権限があるか否かを確認する。つまり、印刷手段３１０が、ユーザＩＤ（ユーザ識別情報）と文書ＩＤ（印刷物識別情報）とを文書セキュリティサーバ２００に通知し、印刷要求に係る実行可否を通知するよう要求する。
【００７３】
Ｓ３０で文書セキュリティサーバ２００は、ユーザＩＤとグループ管理表からユーザが所属する全てのグループを特定し、また文書ＩＤと文書機密レベル管理表から文書の機密レベルを特定する。その後、文書セキュリティサーバ２００は、文書セキュリティポリシー、特定された全てのグループＩＤ、特定された文書機密レベルからユーザが機密文書へアクセスする権限、機密文書を印刷する権限を有するか否かを判断する。つまり、出力可否判定手段２１０が、印刷手段３１０によって通知された文書ＩＤ、ユーザＩＤに基づいて文書セキュリティ情報２５０を検索し、印刷要求を実行して良いか否かを判定する。
【００７４】
図９で示す処理例では印刷権限を有するとして、アクセス・印刷が可能である旨、印刷した場合は印刷物を廃棄しない限り建物からの外出が許可されない旨を文書管理サーバへ通知する。
【００７５】
Ｓ４０で文書管理サーバは、ユーザが印刷する際の制限に同意するか否かを確認し、利用者が同意すればユーザＩＤ、文書ＩＤ、印刷物の出力枚数を文書セキュリティサーバ２００へ通知する。文書セキュリティサーバ２００は、文書管理サーバからの通知を機密印刷物の出力管理表に登録する（反映させる）。
【００７６】
Ｓ５０で文書管理サーバはセキュリティＭＤＰへ印刷指示をする。つまり、出力可否判定手段２１０が、印刷要求を実行して良いと判断し、その旨を印刷出力手段２２０が、文書プリントサーバ又はセキュリティＭＦＰ３００に対しその旨を通知する。
【００７７】
Ｓ６０でセキュリティＭＦＰ３００は、機密文書を印刷媒体上に印刷する。つまり、印刷手段３１０が印刷要求のあった機密文書を印刷物として出力する。ユーザは、印刷物利用後に印刷物を廃棄、収納等の文書セキュリティポリシーで求められる適切な処理をする。ユーザが処理をした行為は、文書セキュリティサーバ２００が有する機密印刷物の処理管理表に反映される。つまり、第１の識別情報抽出手段４１０が、ユーザが印刷物を廃棄する際、ユーザＩＤ、文書ＩＤを取得し、廃棄情報通知手段４２０が、該ユーザＩＤ、文書ＩＤ、印刷物が廃棄された旨を文書セキュリティサーバ２００に通知する。または、第２の識別情報抽出手段５１０が、ユーザが印刷物を収納する際、ユーザＩＤ、文書ＩＤを取得し、収納情報通知手段５２０が、該ユーザＩＤ、文書ＩＤ、印刷物が収納された旨を文書セキュリティサーバ２００に通知する。そして、処分情報取得手段２３０が、廃棄情報通知手段４２０又は収納情報通知手段５２０によって通知されたユーザＩＤ、文書ＩＤに基づいて、廃棄・収納情報２６０の廃棄された印刷物の枚数、収納された印刷物の枚数等の情報を登録、保存する。
【００７８】
Ｓ７０でユーザは、建物からの外出時にＩＣカード等でユーザＩＤをセキュリティドア６００に読み取らせる。つまり、解錠手段６１０が、ユーザＩＤを取得する。
【００７９】
Ｓ８０でセキュリティドア６００は、取得したユーザＩＤを文書セキュリティサーバ２００へ通知し、該ユーザが外出する権限があるか否かを確認する。つまり、解錠手段６１０が、取得したユーザＩＤをセキュリティサーバ２００に通知する。
【００８０】
Ｓ９０で文書セキュリティサーバ２００は、通知されたユーザＩＤと機密印刷物の処理管理表とに基づいて、該ユーザＩＤと合致するエントリ全て検索する。エントリが１つも無い、又は検索された全てのエントリの外出許可の項目値が「ＯＫ」であれがセキュリティドア６００に外出許可を通知し、「ＮＧ」であれば外出不許可を通知する。セキュリティドア６００は、文書セキュリティサーバ２００からの許可又は不許可の通知に応じて電子錠の開閉を行う。つまり、解錠判定手段２４０が、解錠手段６１０により通知されたユーザＩＤに対応する廃棄・収納情報２６０に基づいて、ドア６００を解錠するか否かを判定し、その判定結果をドア６００に通知する。そして、解錠手段６１０が、解錠判定手段６１０によって解錠すると判定された場合、ドア６００の鍵を解錠する。
【００８１】
このようにすることで、機密印刷物を保持している可能性のある人を建物外に出させないようにすることができる。
【００８２】
次に、図１０を用いて、機密印刷物をコピーして利用する場合の文書セキュリティシステム１００の処理の流れを説明する。
Ｓ１１０でユーザはＩＣカードなどでユーザＩＤをセキュリティＭＦＰ３００に取得させ、機密印刷物のコピー要求をする。
【００８３】
Ｓ１２０でセキュリティＭＦＰ３００は、文書セキュリティサーバ２００に対しコピー要求をしたユーザのユーザＩＤ、機密印刷物の文書ＩＤを通知し、体利用者が文書をコピーする権限があるか否かを確認する。つまり、印刷手段３１０が、ユーザＩＤ（ユーザ識別情報）と文書ＩＤ（印刷物識別情報）とを文書セキュリティサーバ２００に通知し、印刷要求に係る実行可否を通知するよう要求する。
【００８４】
Ｓ１３０で文書セキュリティサーバ２００は、ユーザＩＤとグループ管理表からユーザが所属する全てのグループを特定し、また文書ＩＤと文書機密レベル管理表から文書の機密レベルを特定する。その後、文書セキュリティサーバ２００は、文書セキュリティポリシー、特定された全てのグループ、特定された文書機密レベルからユーザが機密印刷物をコピーする権限を有するか否か判断する。つまり、出力可否判定手段２１０が、印刷手段３１０によって通知された文書ＩＤ、ユーザＩＤに基づいて文書セキュリティ情報２５０を検索し、印刷要求を実行して良いか否かを判定する。
【００８５】
図１０で示す処理例においては、ユーザがコピーする権限を有するものとして、コピーが可能であること、及びコピーをした場合コピー文書を廃棄しない限り建物からの外出が許可されないことをセキュリティＭＦＰ３００３００へ通知する。
【００８６】
Ｓ１４０でセキュリティＭＦＰ３００は、ユーザがコピーする際の利用条件に同意するかを確認し、ユーザが同意すればユーザＩＤ、文書ＩＤ、コピー枚数を文書セキュリティサーバ２００へ通知する。文書セキュリティサーバ２００は、セキュリティＭＦＰ３００からの通知を機密紙文書の出力管理表に反映させる。つまり、出力可否判定手段２１０又は印刷出力手段２２０が、廃棄・収納情報２６０に、印刷物に関する印刷物識別情報（文書ＩＤ）、ユーザ識別情報（ユーザＩＤ）、出力枚数、文書セキュリティ情報２５０に基づき該印刷物に課される最終処理の内容を登録する。
【００８７】
Ｓ１５０でセキュリティＭＦＰ３００は、コピーを実行し印刷物を出力する。ユーザは印刷物利用後に該印刷物を廃棄又は収納など文書セキュリティポリシーで定められた適切な処理をする。ユーザが処理をした行為は、文書セキュリティサーバ２００が有する機密印刷物の処理管理表に登録、反映される。つまり、第１の識別情報抽出手段４１０が、ユーザが印刷物を廃棄する際、ユーザＩＤ、文書ＩＤを取得し、廃棄情報通知手段４２０が、該ユーザＩＤ、文書ＩＤ、印刷物が廃棄された旨を文書セキュリティサーバ２００に通知する。または、第２の識別情報抽出手段５１０が、ユーザが印刷物を収納する際、ユーザＩＤ、文書ＩＤを取得し、収納情報通知手段５２０が、該ユーザＩＤ、文書ＩＤ、印刷物が収納された旨を文書セキュリティサーバ２００に通知する。そして、処分情報取得手段２３０が、廃棄情報通知手段４２０又は収納情報通知手段５２０によって通知されたユーザＩＤ、文書ＩＤに基づいて、廃棄・収納情報２６０の廃棄された印刷物の枚数、収納された印刷物の枚数等の情報を登録、保存する。
【００８８】
Ｓ１６０でユーザは、建物からの外出時にＩＣカード等でユーザＩＤをセキュリティドア６００に提示する。つまり、解錠手段６１０が、ユーザＩＤを取得する。
【００８９】
Ｓ１７０でセキュリティドア６００は、提示されたユーザＩＤを文書セキュリティサーバ２００へ通知し、外出を要求するユーザが外出権限を有するか否かを確認する。つまり、解錠手段６１０が、取得したユーザＩＤを文書セキュリティサーバ２００に通知する。
【００９０】
Ｓ１８０で文書セキュリティサーバ２００は、通知されたユーザＩＤと機密印刷物の処理管理表から、提示されたユーザＩＤと合致するエントリを全て検索する。エントリが１つもない又は検索された全てのエントリの外出許可の項目値が「ＯＫ」の場合、セキュリティドア６００に外出許可を通知し、「ＮＧ」の場合、外出不許可をセキュリティドア６００へ通知する。そしてセキュリティドア６００は、文書セキュリティサーバ２００からの許可又は不許可の通知に応じて電子錠の開閉を行う。つまり、解錠判定手段２４０が、解錠手段６１０により通知されたユーザＩＤに対応する廃棄・収納情報２６０に基づいて、ドア６００を解錠するか否かを判定し、その判定結果をドア６００に通知する。そして、解錠手段６１０が、解錠判定手段６１０によって解錠すると判定された場合、ドア６００の鍵を解錠する。
【００９１】
このようにすることで、機密印刷物を保持している可能性のある人を建物外に出させないようにすることができる。
【００９２】
次は、図１１を用いて、印刷物廃棄装置３００による処理例を説明する。図１１は機密印刷物を細断し、そこからの情報読み取りを不可能にすることで機密印刷物からの情報漏えいの恐れをなくす方法を示した図である。
【００９３】
印刷物廃棄装置３００であるシュレッダーには、ユーザＩＤを読み取るためのＩＣカードリーダや機密印刷物から文書ＩＤを読み取る機能が備わっている。文書ＩＤを読み取る機能は、文書ＩＤをどのような形態で付与するかに依存し、例えば、文書ＩＤをバーコード、ＱＲコード、ドットパターン等にエンコードしたものを機密印刷物に印字することで付与する。
【００９４】
従って、文書ＩＤを読み取る機能は、機密印刷物をスキャンして得られた画像データから文書ＩＤを示す部分画像を特定し、その部分画像を画像処理でデコードすることで文書ＩＤを読み取る。
【００９５】
Ｓ２１０でユーザは、自分のＩＤを印刷物廃棄装置３００に提示して、機密印刷物を廃棄する。Ｓ２２０でシュレッダー３００はユーザＩＤと機密印刷物の文書ＩＤを読み取り、機密印刷物を細断廃棄した後、該ユーザＩＤと文書ＩＤと該機密印刷物を廃棄した旨を文書セキュリティサーバ２００に通知する。
【００９６】
つまり、第１の識別情報抽出手段４１０が、ユーザが細断装置１０１０によって印刷物を細断する際、該印刷物から該印刷物を識別する文書ＩＤ（印刷物識別情報）を抽出する。さらに、第１の識別情報抽出手段４１０が、ユーザが細断装置１０１０によって印刷物を細断する際、該ユーザのユーザ識別情報を取得する。そして、廃棄情報通知手段４２０が、第１の識別情報抽出手段４１０によって抽出、取得した文書ＩＤ及びユーザＩＤと該文書ＩＤに対応する印刷物を廃棄した旨とを、通信Ｉ／Ｆ１０３０を介して、文書セキュリティサーバ２００に通知する。ここで、印刷物を廃棄した旨とは、単に印刷物を細断廃棄した事実を通知する形態であっても良く、細断廃棄した印刷物の枚数を通知する形態であっても良い。
【００９７】
次は、図１２を用いて、収納装置４００による処理例を説明する。図１２は機密印刷物を施錠されたキャビネット内に保管し、保管者以外が機密印刷物を取り出すことができないようにすることで機密印刷物からの情報漏えいの恐れをなくす方法を示す図である。
【００９８】
収納装置４００であるキャビネットには図１０におけるシュレッダー３００と同様にユーザＩＤを読み取るためのＩＣカードリーダや機密印刷物から文書ＩＤを読み取る機能が備わっている。
【００９９】
Ｓ３１０でユーザは、自分のユーザＩＤをセキュリティキャビネット４００に提示し、機密印刷物をキャビネットに収納する。Ｓ３２０でセキュリティキャビネット４００は、ユーザＩＤと機密印刷物の文書ＩＤを読み取り、機密印刷物をセキュリティキャビネット４００に収納、保管された後、該ユーザＩＤと該文書ＩＤと該機密印刷物を廃棄した旨を文書セキュリティサーバ２００に通知する。
【０１００】
つまり、第２の識別情報抽出手段５１０が、ユーザがセキュリティキャビネット１１１０に機密印刷物を収納する際、該印刷物から該印刷物を識別する文書ＩＤ（印刷物識別情報）を抽出する。さらに、第２の識別情報抽出手段５１０が、ユーザがセキュリティキャビネット１１１０に機密印刷物を収納する際、該ユーザのユーザＩＤ（ユーザ識別情報）を取得する。そして、収納情報通知手段５２０が、第２の識別情報抽出手段５１０によって抽出、取得した文書ＩＤ及びユーザＩＤと該文書ＩＤに対応する機密印刷物を収納した旨とを、通信Ｉ／Ｆ１１３０を介して、文書セキュリティサーバ２００に通知する。ここで、印刷物を収納した旨とは、単に印刷物を収納した事実を通知する形態であっても良く、収納した印刷物の枚数を通知する形態であっても良い。
【０１０１】
この処理方法は機密印刷物を紙出力した当日だけでなく数日間に渡って利用する際に、印刷物を無駄に廃棄させる必要をなくすための方法である。
【０１０２】
次に、図１３を用いて、所定の管理者の許可によってドア６００を解錠する処理例について説明する。図１３は、何らかの理由により機密印刷物の廃棄・保管が不可能／困難になった場合の救済措置の方法を示す図である。何らかの理由とは、例えば、機密印刷物を破損してしまい文書ＩＤの読み取りが不可能になってしまった場合、機密印刷物を紛失してしまった場合等が該当する。
【０１０３】
Ｓ４１０でユーザは、自分のユーザＩＤを提示して機密印刷物は廃棄・収納していないが外出の許可がでるよう文書セキュリティサーバ２００に申請する。Ｓ４２０で文書セキュリティサーバ２００は、文書セキュリティポリシーが管理者通知による外出許可処理を許容していれば、外出申請があった旨を所定の管理者へ通知する。Ｓ４３０で該所定の管理者は、ユーザに連絡を行い、外出申請を行った理由、機密印刷物の状態等を確認し、機密印刷物からの情報漏洩の恐れがないことを確認した後、当該ユーザの外出許可を文書セキュリティサーバ２００に通知する。その後、セキュリティドア６００は、該外出許可に基づいて解錠される。
【０１０４】
具体的には、解錠手段６１０が、ユーザがセキュリティドア６００の鍵を解錠して該ドア１２１０を開けて外出しようとする際、該ユーザのユーザＩＤを取得する。そして、解錠手段６１０は、取得したユーザＩＤを文書セキュリティサーバ２００へ通知し、当該解錠実行の可否を通知するよう要求する。次に、解錠判定手段２４０が、解錠手段６１０により通知されたユーザＩＤに関し廃棄・収納情報２６０内に保持されている情報を検索し、所定の管理者による外出許可を示す情報があった場合、解錠をするとの判定結果をセキュリティドア６００に通知する。その後、解錠手段６１０が、セキュリティドア６００を解錠する。
【０１０５】
上記の処理例では、緊急的に外出可能にしてもらえるよう管理者に依頼を出すことで、機密印刷物を処理していなくても外出許可を得ることができる。この救済措置は、情報漏洩を意図して悪用される場合も考えられるため、この救済措置により緊急的に外出許可を得た者に関しては所定の管理者がよく事情を聞くなどして、そこから情報漏洩の危険があり得るか否かを判断し適切な対処をする必要がある。
【０１０６】
（総括）
本発明は、機密性のある文書を印刷した印刷物の流出による情報漏洩の抑止力を強化した文書セキュリティサーバ、文書セキュリティシステム並びにそれらの制御方法及び制御プログラムを提供することができる。
以上、本発明の実施の形態について詳述したが、本発明は係る特定の実施の形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲において、種々の変形・変更が可能である。
【図面の簡単な説明】
【０１０７】
【図１】本実施の形態に係る文書セキュリティシステムの動作原理を説明するための図である。
【図２】本実施の形態に係る文書セキュリティサーバのハードウェア構成の一例を示す図である。
【図３】本実施の形態に係る画像形成装置のハードウェア構成の一例を示す図である。
【図４】本実施の形態に係るドアのハードウェア構成の一例を示す図である。
【図５】本実施の形態に係る印刷物廃棄装置のハードウェア構成の一例を示す図である。
【図６】本実施の形態に係る収納装置のハードウェア構成の一例を示す図である。
【図７】本実施の形態に係る文書セキュリティシステムの概要を説明するための図である。
【図８】本実施の形態に係る廃棄・収納情報の一例を示す図である。
【図９】本実施の形態に係る文書セキュリティシステムによる印刷時の処理例を示す図である。
【図１０】本実施の形態に係る文書セキュリティシステムによるコピー時の処理例を示す図である。
【図１１】本実施の形態に係る印刷物廃棄装置による処理例を示す図である。
【図１２】本実施の形態に係る収納装置による処理例を示す図である。
【図１３】本実施の形態に係る所定の管理者による許可によって鍵を解錠する処理例を示す図である。
【符号の説明】
【０１０８】
１００  文書セキュリティシステム
２００  文書セキュリティサーバ
２１０  出力可否判定手段
２２０  印刷出力手段
２３０  処分情報取得手段
２４０  解錠判定手段
２５０  文書セキュリティ情報
２６０  廃棄・収納情報
３００  画像形成装置
３１０  印刷手段
４００  印刷物廃棄装置
４１０  第１の識別情報抽出手段
４２０  廃棄情報通知手段
５００  収納装置
５１０  第２の識別情報抽出手段
５２０  収納情報通知手段
６００  ドア
６１０  解錠手段
【図１】
2010121423.tif 000003
【図２】
2010121423.tif 000004
【図３】
2010121423.tif 000005
【図４】
2010121423.tif 000006
【図５】
2010121423.tif 000007
【図６】
2010121423.tif 000008
【図７】
2010121423.tif 000009
【図８】
2010121423.tif 000010
【図９】
2010121423.tif 000011
【図１０】
2010121423.tif 000012
【図１１】
2010121423.tif 000013
【図１２】
2010121423.tif 000014
【図１３】
2010121423.tif 000015