(57)【要約】【課題】災害が発生した際に機密情報を適切に取り扱えるようにする。【解決手段】画像処理装置１０のユーザインタフェース（ＵＩ）を提供するユーザインタフェース部（ＵＩ部）１５と、サーバ等との間で各種情報の送受信を行う外部ＩＦ（インタフェース）１１と、機密情報の取り扱いに関する規則を定義したセキュリティポリシーを記憶するセキュリティポリシー記憶部１７と、ＵＩ部１５や外部ＩＦ１１から入力された災害に関する情報を取得する災害情報取得部１２と、区別情報記憶部１４から区別情報を読み出し、災害に関する情報との照合によって災害の段階を定め、この災害の段階と、変更定義記憶部１６に記憶されたセキュリティポリシーの変更定義とに基づいて、セキュリティポリシーを変更するセキュリティポリシー変更部１３とを備えた。【選択図】図１
2008158867.tif 000002
【特許請求の範囲】
【請求項１】
装置が有する機能と、当該機能を使用することが許可されるユーザおよび当該機能を使用した処理の対象とすることが許可される情報の少なくとも一方との対応関係を記憶する記憶手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記対応関係を変更する変更手段と
を備えたことを特徴とする画像処理装置。
【請求項２】
前記変更手段は、前記取得手段により取得された前記災害に関する情報から災害の段階を定め、当該段階に応じて前記対応関係を変更することを特徴とする請求項１記載の画像処理装置。
【請求項３】
画像処理の結果として、または、画像処理に関連する処理で用いるために、装置内部で保持する内部情報を記憶する記憶手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記内部情報の消失または漏洩を防止する処理を行う処理手段と
を備えたことを特徴とする画像処理装置。
【請求項４】
前記処理手段は、前記記憶手段に記憶された前記内部情報を外部に出力する処理を行うことを特徴とする請求項３記載の画像処理装置。
【請求項５】
前記処理手段が前記内部情報を他の装置に出力するに先立ち、当該他の装置が有する記憶手段および当該他の装置との間の通信手段の状態を診断する診断部を更に備えたことを特徴とする請求項４記載の画像処理装置。
【請求項６】
前記処理手段は、前記記憶手段に記憶された前記内部情報を削除する処理を行うことを特徴とする請求項３記載の画像処理装置。
【請求項７】
外部システムへのアクセスを行うアクセス手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記アクセス手段による前記外部システムへのアクセスを制限する制限手段と
を備えたことを特徴とする画像処理装置。
【請求項８】
機密情報の取り扱いに関する規則を定義したセキュリティポリシーを記憶する記憶手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記セキュリティポリシーを変更する変更手段と
を備えたことを特徴とする情報管理装置。
【請求項９】
コンピュータに、
装置が有する機能と、当該機能を使用することが許可されるユーザおよび当該機能を使用した処理の対象とすることが許可される情報の少なくとも一方との対応関係を記憶手段に記憶する機能と、
災害の発生に関する情報を取得する機能と、
前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記対応関係を変更する機能と
を実現させるためのプログラム。
【請求項１０】
コンピュータに、
画像処理の結果として、または、画像処理に関連する処理で用いるために、装置内部で保持する内部情報を記憶手段に記憶する機能と、
災害の発生に関する情報を取得する機能と、
前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記内部情報の消失または漏洩を防止する処理を行う機能と
を実現させるためのプログラム。
【請求項１１】
コンピュータに、
外部システムへのアクセスを行う機能と、
災害の発生に関する情報を取得する機能と、
前記災害の発生に関する情報の取得に応じて、前記外部システムへのアクセスを制限する機能と
を実現させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画像処理装置、情報処理装置、プログラムに関する。
【背景技術】
【０００２】
近年、災害に対する危機管理の必要性が強く叫ばれている。災害としては、例えば、火災、気象災害（豪雨・雷・雪等）、地震・噴火・津波・台風等の大災害などがある。例えば記録媒体に出力する画像を処理する画像処理装置などの各種機器においても、これらの災害発生時の対応が従来から検討されている。
【０００３】
ここで、従来、画像処理装置における災害発生時の対策としては、安全確保を目的とするものが存在する。公報記載の従来技術として、例えば、装置の電圧の振幅、周期の変動等から地震や装置の落下等を異常振動判定機能手段を介して確認し、定着ヒータの電力供給を強制的に停止する技術が存在する（例えば、特許文献１参照。）。
【０００４】
また他の公報記載の技術として、ネットワークや電話回線に接続された複写機やプリンタに、信号発信基からの災害信号を受信する機能を備え、災害信号を受信したときには、その災害データを用紙にプリントアウト出力し、その後電源を遮断する技術が存在する（例えば、特許文献２参照。）。
【０００５】
ところで今日、画像処理装置の機能は多岐にわたるようになり、装置内部に文書情報を格納する機能や、装置を入り口として外部システムにアクセスする機能を搭載した商品も登場している。その一方で、個人情報保護法の施行等に伴い、情報セキュリティに対する関心が高まっている。そこで、画像処理装置において、各機能をセキュアに実現するために、ＩＣカードやバイオメトリクスを用いたユーザ認証を始めとしたアクセスコントロール等のセキュリティ機能も強化されてきている。但し、セキュリティ機能を用いて設定したアクセスレベルやセキュリティレベルは、通常時には有効であるが、災害発生時等の特殊状況下では、問題となる可能性がある。
かかる災害等の不測の事態におけるセキュリティに関する公報記載の従来技術として、救急隊員等の特権者が当事者の携帯端末装置で自己のＩＤを通知すると、特権者ＩＤを認証して該当携帯端末装置の所有者の個人情報をアクセス元の携帯電話装置に返信する技術が存在する（例えば、特許文献３参照。）。
【０００６】
【特許文献１】特開平１１−１８４３２７号公報
【特許文献２】特開２００１−０２３０６０号公報
【特許文献３】特開２００４−３４１７３８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
災害発生時、完全にアクセスを遮断すべきもの、逆にフリーアクセスとすべきものなど、セキュリティに関する考え方は状況に応じて様々であるが、従来、災害が発生した際に機密情報を適切に取り扱えるようにすることはできなかった。
本発明の目的は、災害が発生した際に機密情報を適切に取り扱えるようにすることにある。
【課題を解決するための手段】
【０００８】
請求項１に記載の発明は、
装置が有する機能と、当該機能を使用することが許可されるユーザおよび当該機能を使用した処理の対象とすることが許可される情報の少なくとも一方との対応関係を記憶する記憶手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記対応関係を変更する変更手段と
を備えたことを特徴とする画像処理装置である。
請求項２に記載の発明は、
前記変更手段は、前記取得手段により取得された前記災害に関する情報から災害の段階を定め、当該段階に応じて前記対応関係を変更することを特徴とする請求項１記載の画像処理装置である。
請求項３に記載の発明は、
画像処理の結果として、または、画像処理に関連する処理で用いるために、装置内部で保持する内部情報を記憶する記憶手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記内部情報の消失または漏洩を防止する処理を行う処理手段と
を備えたことを特徴とする画像処理装置である。
請求項４に記載の発明は、
前記処理手段は、前記記憶手段に記憶された前記内部情報を外部に出力する処理を行うことを特徴とする請求項３記載の画像処理装置である。
請求項５に記載の発明は、
前記処理手段が前記内部情報を他の装置に出力するに先立ち、当該他の装置が有する記憶手段および当該他の装置との間の通信手段の状態を診断する診断部を更に備えたことを特徴とする請求項４記載の画像処理装置である。
請求項６に記載の発明は、
前記処理手段は、前記記憶手段に記憶された前記内部情報を削除する処理を行うことを特徴とする請求項３記載の画像処理装置である。
請求項７に記載の発明は、
外部システムへのアクセスを行うアクセス手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記アクセス手段による前記外部システムへのアクセスを制限する制限手段と
を備えたことを特徴とする画像処理装置である。
請求項８に記載の発明は、
機密情報の取り扱いに関する規則を定義したセキュリティポリシーを記憶する記憶手段と、
災害の発生に関する情報を取得する取得手段と、
前記取得手段による前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記セキュリティポリシーを変更する変更手段と
を備えたことを特徴とする情報管理装置である。
請求項９に記載の発明は、
コンピュータに、
装置が有する機能と、当該機能を使用することが許可されるユーザおよび当該機能を使用した処理の対象とすることが許可される情報の少なくとも一方との対応関係を記憶手段に記憶する機能と、
災害の発生に関する情報を取得する機能と、
前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記対応関係を変更する機能と
を実現させるためのプログラムである。
請求項１０に記載の発明は、
コンピュータに、
画像処理の結果として、または、画像処理に関連する処理で用いるために、装置内部で保持する内部情報を記憶手段に記憶する機能と、
災害の発生に関する情報を取得する機能と、
前記災害の発生に関する情報の取得に応じて、前記記憶手段に記憶された前記内部情報の消失または漏洩を防止する処理を行う機能と
を実現させるためのプログラムである。
請求項１１に記載の発明は、
コンピュータに、
外部システムへのアクセスを行う機能と、
災害の発生に関する情報を取得する機能と、
前記災害の発生に関する情報の取得に応じて、前記外部システムへのアクセスを制限する機能と
を実現させるためのプログラムである。
【発明の効果】
【０００９】
請求項１の発明は、災害が発生した際に、機能を使用することができるユーザまたは機能を使用した処理の対象とすることが許可される情報を変更することができるという効果を有する。
請求項２の発明は、機能を使用することができるユーザまたは機能を使用した処理の対象とすることが許可される情報を災害の段階に応じたものとすることができるという効果がある。
請求項３の発明は、災害が発生した際に、装置内部で保持する内部情報の消失または漏洩を防止することができるという効果を有する。
請求項４の発明は、災害が発生した際に、装置内部で保持する内部情報を消失させることなく退避することができるという効果を有する。
請求項５の発明は、装置内部で保持する内部情報を退避可能かどうかを事前に確認した上で退避することができるという効果を有する。
請求項６の発明は、災害が発生した際に、装置内部で保持する内部情報が漏洩しないようになるという効果を有する。
請求項７の発明は、災害が発生した際に、外部システムへのアクセスを制限することができるという効果を有する。
請求項８の発明は、本構成を有していない場合に比較して、災害が発生した際に、機密情報を適切に取り扱えるようになるという効果を有する。
請求項９の発明は、災害が発生した際に、機能を使用することができるユーザまたは機能を使用した処理の対象とすることが許可される情報を変更することができるという効果を有する。
請求項１０の発明は、災害が発生した際に、装置内部で保持する内部情報の消失または漏洩を防止することができるという効果を有する。
請求項１１の発明は、災害が発生した際に、外部システムへのアクセスを制限することができるという効果を有する。
【発明を実施するための最良の形態】
【００１０】
以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
図１は、本実施の形態が適用される画像処理装置１０の構成例を示す機能ブロック図である。画像処理装置１０は、プリンタやファクシミリ、複写機などとして機能する画像形成装置と一体となった組み込みコンピュータ等のコンピュータ装置や、画像形成装置に外部接続されるパーソナルコンピュータ等のコンピュータ装置、またはスキャナなどとして機能する画像入力装置と一体となった組み込みコンピュータ等のコンピュータ装置や、画像入力装置に外部接続されるパーソナルコンピュータ等のコンピュータ装置などによって実現される。この画像処理装置１０は、例えば、小さなスペースにて多数の品種を扱う形態の小売店である所謂コンビニエンスストアなどに設置される。この所謂コンビニエンスストアなどに設置される画像処理装置１０は、通常の動作時には、例えばプリンタやファクシミリ、複写機、スキャナとして、また、デジタルカメラで撮影した写真をプリントアウトする装置等として利用される場合がある。
【００１１】
また、この画像処理装置１０は、例えばサーバから各種情報を取得する等、外部との通信を実行する外部ＩＦ（インタフェース）１１を備えている。外部ＩＦ１１は、たとえば社内ネットワークやインターネット、サーバと接続するための専用線やＶＰＮ（バーチャルプライベートネットワーク）等に接続される。また、画像処理装置１０は、災害情報（災害に関する情報）を取得する災害情報取得部１２と、この災害情報取得部１２から取得した災害情報に基づいてセキュリティポリシー（機密情報の取り扱いに関する規則）を変更するセキュリティポリシー変更部１３とを備えている。更に、セキュリティポリシー変更部１３にて、後述する災害種別判断や災害レベル（災害の段階）判断などが行われる際の各種情報が記憶されたメモリである区別情報記憶部１４を備えている。
【００１２】
また、画像処理装置１０は、たとえばマウスおよびタッチパネルなどの位置指示装置またはキーボードなどの入力装置によるユーザの操作を受け付け、受け付けた操作に基づき画像処理に関する指示を特定するユーザインタフェース部（ＵＩ部）１５を備えている。ＵＩ部１５は画像処理装置１０自体に設ける他、たとえば携帯電話やＰＤＡ（パーソナルデジタルアシスタンス）、電子手帳、パーソナルコンピュータなどの情報処理装置を有線または無線で接続して用いてもよい。また、各種入力機能を用いて災害情報などのユーザからの情報入力を認識する場合もある。
【００１３】
更に、画像処理装置１０は、このＵＩ部１５によって設定され、セキュリティポリシー変更部１３によるセキュリティポリシーの変更規則を定義した変更定義を記憶する変更定義記憶部１６を備えている。また、セキュリティポリシー変更部１３による変更の対象となるセキュリティポリシーを記憶するセキュリティポリシー記憶部１７を備える。
ここで、セキュリティポリシーとは、機密情報の取り扱いに関する規則であるが、その代表例としては、装置が有する機能の利用権限の情報がある。例えば、どのユーザがどの機能を使用できるかといった情報である。これは、装置が有する機能と、その機能を使用することが許可されるユーザとの対応関係の形式で定めておけばよい。或いは、どの情報を対象としてどの機能を使用できるかといった情報も考えられる。この場合は、装置が有する機能と、その機能を使用した処理の対象とすることが許可される情報との対応関係の形式で定めておけばよい。
また、セキュリティポリシーとしては、装置内部で保持する内部情報（後述）の取り扱いに関する規則であってもよい。或いは、内部情報の機密性の保持等のために外部システムへのアクセスを許可するかどうか、といった規則であってもよい。
【００１４】
更に、画像処理装置１０は、装置本体の診断、或いは、インターネット回線や電話回線などの外部通信ネットワークの診断を行う診断実行部１８を備えている。この診断実行部１８では、通常、画像処理装置１０の電源投入時に本体の診断が行われる。本実施の形態では、これに加え、災害情報取得部１２から出力された災害情報をもとに、診断内容を変更している。すなわち、複数の診断シーケンス（予め定められた診断のための動作の順序）が用意されており、災害の種類、災害発生場所から距離、災害の影響度に応じてシーケンスを決定する。例えば、水害の場合、全ての用紙トレイに対して、紙送りが可能かどうかの診断を行う。また例えば、大規模停電が発生している場合、供給電源の安定性の確認と、外部サーバとの通信が可能かどうかネットワークの診断を適時行う。このように、例えば診断の適正化および/または診断の迅速化などをより良好に実現するために、取得された災害に関する情報に応じて自己診断とネットワーク環境の診断とを実行している。即ち、例えば診断箇所のピックアップや、診断箇所の重点化、通常モード時の診断では行わない特有な箇所の診断など、災害に関する情報に対応させた診断実行を実現している。更に、本実施の形態において、診断実行部１８は、他の装置における同様の機能との間で診断結果の情報の交換も行う。
【００１５】
また、画像処理装置１０は、装置全体を制御する装置制御部２０を備えている。更に、画像処理に携わる各種機能として、例えば、スキャナや電話回線、外部接続されたＰＣ（パーソナルコンピュータ）などのコンピュータ等から、処理すべき画像データを取得する画像取得部２１と、取得された画像データを処理する画像処理部２２と、処理された画像データを出力する画像形成部２３とを備えている。ここで、この画像形成部２３は、例えば電子写真方式によってトナー像を用紙上に形成する画像形成方式や、例えばインクを用紙上に吐出して像を形成するインクジェット方式などを採用した画像形成装置を含むものとするとよい。尚、画像形成部２３としては、実際に用紙上に画像を形成するところまでは実行せず、所定のラインを介して接続された画像形成装置に対して画像データを出力するまでの構成としてもよい。
【００１６】
更に、画像処理装置１０は、装置を使用するユーザを認証するユーザ認証部２４を備える。例えばユーザは事前に配布されたＩＣカードを挿入したり、事前に割り当てられたユーザＩＤを入力したりすることで、ユーザを特定する情報（ユーザ情報）を装置内部に伝える。すると、ユーザ認証部２４は、ユーザ情報が登録されているかどうかを検証し、登録済みであれば、装置の使用を許可すると共にそのユーザ情報をメモリに記憶しておき、未登録であれば、装置の使用を拒否する。そして、ユーザが例えばＵＩ部１５から機能の使用を要求した場合に、メモリに記憶されたユーザ情報を用いて、セキュリティポリシー記憶部１７に記憶されたセキュリティポリシーを照会することにより、そのユーザがその機能を使用してよいかどうかを判定する。或いは、セキュリティポリシーとして、どの情報を対象としてどの機能を使用できるかの情報が記憶されている場合は、図示しないが、対象の情報を特定する情報を用いて、セキュリティポリシーを照会することにより、その情報を対象としてその機能を使用してよいかどうかを判定する別の認証部を設けることも考えられる。
【００１７】
更にまた、画像処理装置１０は、内部情報を記憶する内部情報記憶部２５を備えている。ここで、内部情報とは、画像処理装置１０が内部に保持する機密性の高い情報のことをいう。例えば、画像処理の結果として保持する情報や、画像処理に関連する処理で用いるために保持する情報がこれに該当する。前者のような情報としては、例えば、画像処理の結果として得られた画像に関わる情報（イメージログ）がある。また、後者のような情報としては、画像処理の結果として得られた画像を外部に送信する際に用いるＦＡＸ番号やメールアドレス等がある。
【００１８】
また、画像処理装置１０は、外部システムへのアクセスの制御や、災害時における内部情報の外部出力等を行う通信制御部２６を備える。通信制御部２６は、セキュリティポリシー記憶部１７に記憶されたセキュリティポリシーに基づいて通信を制御する。
例えば、セキュリティポリシーにおいて、内部情報を外部に出力することが定義されていれば、通信制御部２６は、内部情報を外部に出力する処理を行う。この場合、通信制御部２６は、内部情報の消失または漏洩を防止する処理を行う処理手段の一例である。
また、セキュリティポリシーにおいて、外部システムへのアクセスを許可することが定義されていれば、ユーザからの外部システム連携サービス要求に応じて、外部システムへの接続動作を行う。一方、セキュリティポリシーにおいて、外部システムへのアクセスを許可しないとの定義がなされていれば、外部システムとの接続を遮断する。この場合、通信制御部２６は、外部システムへのアクセスを行うアクセス手段、及び、外部システムへのアクセスを制限する制限手段の一例である。
尚、ここでいう外部システムとは、例えば、業務システムや文書管理システム等の基幹システムで、画像処理装置１０に通信回線で接続されたものである。また、外部システム連携サービスとは、画像処理装置１０を入り口（ポータル）として外部システムと連携し、外部システムが用意した様々なサービスをユーザに提供するサービスのことである。
【００１９】
図１に示す画像処理装置１０は、災害に関する情報の取得に際して幾つかの態様を備えている。
まず第１として、災害情報取得部１２が災害に関する情報をＵＩ部１５から取得する態様である。例えば、画像処理装置１０のＵＩ部１５に緊急状態を入力する機能を設け、この機能によって入力されたものを認識することによって、災害に関する情報を取得するようにするとよい。例えば緊急ボタン（スイッチ）や緊急コマンド設定などが例として挙げられる。災害情報取得部１２によって、この災害情報が取得されると、セキュリティポリシー変更部１３では、取得されたこの災害情報に基づき、セキュリティポリシー記憶部１７に記憶されたセキュリティポリシーを、通常のポリシーから災害対応のポリシーに変更する。
【００２０】
また、第２として、災害情報取得部１２が災害認識部として機能し、災害に関する情報（災害情報）を自立的に判断する態様がある。例えば、地震観測計や振動検知機能などを備えて自ら災害を認識する。地震観測計としては、例えば、地震の初期微動(Ｐ波)を検知して、地震の規模や発生位置を検知し、画像処理装置１０に対する地震の影響度を認識する方法が考えられる。そして、第１の態様と同様に、セキュリティポリシー変更部１３は、セキュリティポリシー記憶部１７におけるセキュリティポリシーを、通常のポリシーから災害対応のポリシーに変更する。
【００２１】
更に、第３として、災害に関する情報（災害情報）をネットワークを経由して受信する態様がある。例えば、外部ＩＦ（インタフェース）１１により、ＴＣＰ/ＩＰの通信プロトコルを用いたネットワークであるインターネットを介してサーバコンピュータから災害に関する情報を取得する。このネットワークを経由した災害に関する情報としては、例えば、官庁や地方自治体が提供する情報や、企業などの外部団体が提供する情報などがある。そして、第１、第２の態様と同様に、セキュリティポリシー変更部１３は、セキュリティポリシー記憶部１７におけるセキュリティポリシーを、通常のポリシーから災害対応のポリシーに変更する。
【００２２】
また更に、第４として、ネットワークを経由してサーバに問い合わせを行い、所謂プル（ｐｕｌｌ）方式（期待するコンテンツをユーザが引っ張る方式）によって災害に関する情報を取得する態様がある。かかる第４の態様では、災害情報取得部１２は、外部ＩＦ１１に対して問い合わせの情報を出力し、外部ＩＦ１１は、この問い合わせの情報をもとに、例えばインターネットを介して外部のサーバコンピュータにアクセスして、災害に関する情報を取得する。そして、第１から第３の態様と同様に、セキュリティポリシー変更部１３は、セキュリティポリシー記憶部１７におけるセキュリティポリシーを、通常のポリシーから災害対応のポリシーに変更する。
【００２３】
尚、ここでは、画像処理装置１０が災害情報に基づいてセキュリティポリシーを変更する場合を説明したが、例えば、災害情報とは別に、または、これに加えて、オフィス等で不審者を検知する物理セキュリティシステムから侵入者情報を取得するようにしてもよい。そして、災害情報と同様に、この侵入者情報をセキュリティポリシー変更部１３に出力し、この侵入者情報に基づいてセキュリティポリシーを変更する構成としてもよい。
【００２４】
図２は、災害情報取得部１２にて取得され、セキュリティポリシー変更部１３によるセキュリティポリシーの変更処理に用いられる災害情報の一例を示した図である。災害に関する情報（災害情報）は、例えばＸＭＬファイルにて作成される。図２に示す例では、災害情報は、画像処理装置の所在地、災害種別、震度、震源地、マグニチュード、画像処理装置近隣情報などの災害レベル判断に用いられる各種情報が含まれている。『災害種別』としては、図２では『地震』の例が示されている。この災害レベル（災害の段階）の種類に応じて、震度、震源地、マグニチュードなどの各項目が決定される（後述）。
【００２５】
次に、区別情報記憶部１４について説明する。ハードディスクドライブ（ＨＤＤ）などの記憶媒体にて形成される区別情報記憶部１４は、ＣＰＵ（後述）によって実行されるソフトウェアの機能であるセキュリティポリシー変更部１３によって、情報の読み出し/書き込みが実行される。
図３は、区別情報記憶部１４に記憶されるレベル判断テーブルの例を示した図である。このレベル判断テーブルは、処理プログラムを実行するＣＰＵにて読み出され、このＣＰＵの作業のために、例えば作業用のメモリ（後述）に一時的に記憶される。このレベル判断テーブルは、図３に示すように、災害種別ごとに、評価項目（判断項目）とその程度とが定められ、それによって災害レベル（災害の段階）が決定されるように設定されている。災害種別としては、地震災害、風水害災害、火山災害、原子力災害、雪害災害、事故災害、および、その他災害がある。図３では、地震災害が選定されている。
【００２６】
この図３では、地震災害の評価項目として、自装置の震度、自装置から震源地までの距離、震源地のマグニチュード、近隣情報、経過時間が列挙されている。また、図３では、決定される災害レベルとして、第１の災害レベルである災害レベルＬＶ１、第２の災害レベルである災害レベルＬＶ２、第３の災害レベルである災害レベルＬＶ３が示されている。評価項目である自装置の震度については、例えば、基準値として震度５弱まで災害レベルＬＶ１、震度５強から震度７まで災害レベルＬＶ２、震度８以上で災害レベルＬＶ３とされている。
【００２７】
同様に、自装置から震源地までの距離については、例えば、基準値として５０ｋｍよりも離れているときには災害レベルＬＶ１、５０ｋｍ〜２０ｋｍのときには災害レベルＬＶ２、２０ｋｍよりも近いときには災害レベルＬＶ３とされている。また、震源地のマグニチュードについては、例えば、基準値としてマグニチュード４．０よりも小さいときには災害レベルＬＶ１、マグニチュード４．１〜７．０のときには災害レベルＬＶ２、マグニチュード７．１を超えるときには災害レベルＬＶ３とされている。
【００２８】
また、近隣情報としては、例えば、『要救助』で災害レベルＬＶ２、『音信不通』で災害レベルＬＶ３とされている。更に、経過時間については、基準値として、例えば１週間以上で災害レベルＬＶ１、４日以内で災害レベルＬＶ２、２日以内で災害レベルＬＶ３とされている。セキュリティポリシー変更部１３は、この図３に示すようなレベル判断テーブルをＨＤＤから読み出してメモリにセットし、例えば図２に示すような災害情報によって照合する。そして、この照合によって災害レベルＬＶ１〜災害レベルＬＶ３を決定し、その災害レベルをメモリにセットする。
【００２９】
このように、災害種別ごとに定められたレベル判断テーブルと、取得された災害情報との照合（マッチング）から、セキュリティポリシーを決定する指針となる災害レベルが決定される。このレベル判断テーブルは、評価項目ごとに災害レベルに応じた基準値が定められている。レベル判断テーブルと災害情報とのマッチングを観察することで、各評価項目ごとに好ましい災害レベルが得られる。そして、この災害レベルの決定は、災害情報の評価項目の中で、例えば最も高いレベルを用いて決定するようにしてもよい。また、例えば平均的なレベルを災害レベルとして決定するようにしてもよい。更に、評価項目別にレベルを決定し、項目ごとにセキュリティポリシーを変更しても良い。
【００３０】
次に、変更定義記憶部１６に記憶されるセキュリティポリシーの変更定義について説明する。
図４は、セキュリティポリシーの変更定義を設定するＵＩを示したものであり、このＵＩに表示される情報がメモリにも記憶される。
このＵＩは、コピー、ＦＡＸ、プリント、イメージログ、外部システム連携サービスに関するセキュリティポリシーの変更定義を設定するためのものであるが、図では、そのうちのコピーに関する変更定義を示している。ここでは、コピー機能の利用権限を災害レベルに応じてどのように変更すべきかが定義される。例えば、通常時、コピー機能は、登録ユーザおよび管理者のみが使用でき、ゲストは使用できないようになっている。ところが、災害レベルＬＶ２以上になると、このセキュリティポリシーが変更されるように設定されている。すなわち、災害レベルＬＶ２以上であれば、緊急事態であるので、ゲストにもコピー機能の使用を許可するようになっている。
また、図示しないが、ＦＡＸ、プリントについても、同様に各機能の利用権限を災害レベルに応じてどのように変更すべきかが定義される。
【００３１】
一方、イメージログに関する変更定義としては、例えば、通常時であれば、イメージログを装置内部に記憶しておき、災害時には、災害が発生してない地域の記憶手段にイメージログを出力する、ということが考えられる。イメージログは、災害発生時は問題なかったとしても、時間が経過して火災や浸水により消失することも考えられる。そのような場合に備え、災害発生初期のネットワークが正常である間に、安全な場所に退避させておくというものである。
また、外部システム連携サービスに関する変更定義としては、例えば、通常時であれば、外部システムへのアクセスを許可するが、災害時には、機密情報の漏洩を防止するために外部システムとの接続を遮断する、ということが考えられる。
【００３２】
次に、図１に示す画像処理装置１０にて実行される処理について、フローチャートを用いて説明する。
図５は、画像処理装置１０の災害情報取得部１２およびセキュリティポリシー変更部１３にて実行される処理を示したフローチャートである。画像処理装置１０の災害情報取得部１２は、所定の方法によって災害情報を取得する（ステップ１０１）。この所定の方法は、前述の第１の態様では、ＵＩ部１５から災害に関する情報を取得する。この第１の態様では、例えば、ＵＩ部１５にてユーザから災害発生に関する所定の入力を入力すると、このＵＩ部１５から災害情報取得部１２に対して、例えば所定のコマンドが出力される。災害情報取得部１２では、このコマンドから災害の種別、災害のレベル等を判断し、セキュリティポリシー変更部１３にて判断可能な内容として図２に示すような災害情報をこのセキュリティポリシー変更部１３に出力する。
【００３３】
また、ステップ１０１にて、上述した第２の態様の場合には、災害情報取得部１２にて災害に関する情報（災害情報）を自立的に判断して取得し、災害情報取得部１２では、セキュリティポリシー変更部１３にて判断可能な内容として図２に示すような災害情報をこのセキュリティポリシー変更部１３に出力する。
上述した第３の態様の場合には、災害に関する情報（災害情報）を外部ＩＦ（インタフェース）１１によりネットワークを経由して受信する。その後、災害情報取得部１２では、セキュリティポリシー変更部１３にて判断可能な内容として、受信した災害に関する情報を図２に示すような災害情報に変換してセキュリティポリシー変更部１３に出力する。
更に、上述した第４の態様では、災害情報取得部１２は、外部ＩＦ（インタフェース）１１に対して問い合わせの情報を出力し、外部ＩＦ（インタフェース）１１はネットワークを介してこの問い合わせの情報をサーバコンピュータに出力する。そして、災害情報取得部１２は、この問い合わせの返答として外部ＩＦ（インタフェース）１１を介して災害に関する情報（災害情報）を取得する。その後、災害情報取得部１２は、取得した災害に関する情報を図２に示すような災害情報に変換してセキュリティポリシー変更部１３に出力する。
【００３４】
次に、このステップ１０１によって、災害情報取得部１２から災害情報を取得したセキュリティポリシー変更部１３は、セキュリティポリシーの変更処理を行う。
すなわち、まず、災害種別を判断する（ステップ１０２）。そして、区別情報記憶部１４に記憶されているレベル判断テーブル（図３参照）を読み出して、作業用メモリ（後述）に書き込む（セットする）（ステップ１０３）。その後、取得されている災害情報を用いてレベル判断テーブルを照会する（ステップ１０４）。そして、この災害情報よりレベル判断テーブルを照会した結果として得られた災害レベルを作業用メモリに書き込んで（セットして）（ステップ１０５）、その災害レベルに応じたセキュリティポリシーに変更する（ステップ１０６）。
【００３５】
この処理により、コピー、ＦＡＸ、プリント等の機能の利用権限に関するセキュリティポリシーが変更された場合、ユーザ認証部２４がユーザからの機能の使用要求に対し、変更後のセキュリティポリシーに従って、その機能の使用を許可してよいかどうかを判定する。例えば、ユーザ認証部２４は、通常時であれば、登録ユーザまたは管理者からのコピー要求に対してのみコピーを許可したが、災害レベルＬＶ２またはＬＶ３の災害時には、ゲストからのコピー要求に対してもコピーを許可する。但し、災害発生時は、いつどのマシンでコピーしたかのトレーサビリティ情報を全てのコピー画像に重畳して印字するようにしてもよい。かかる処理は、セキュリティポリシーにおいて、どのユーザがどの機能を使用できるかだけでなく、その機能を使用した際に追加的に行うべき処理も設定しておくことにより実現される。
【００３６】
また、イメージログ、外部システム連携サービスに関するセキュリティポリシーが変更された場合、画像処理装置１０の通信制御部２６は、次のような動作を行う。尚、ここでは、変更後のセキュリティポリシーにおいて、イメージログについては外部へ出力後、廃棄することが定義され、外部システム連携サービスについては、外部システムとの接続を遮断することが定義されているものとする。
【００３７】
図６は、このときの通信制御部２６の動作を詳述するフローチャートである。
まず、通信制御部２６は、診断実行部１８から診断結果を取得する（ステップ２０１）。ここで、診断結果には、自己診断およびネットワーク診断の結果に加え、イメージログの退避先として予め定めておいた他の装置との間で交換したその装置に関する診断の結果も含まれる。そして、通信制御部２６は、その診断の結果において、ネットワークが正常であるかどうかを判定する（ステップ２０２）。ネットワークが正常であれば、退避先の装置におけるＨＤＤ等の記憶装置が正常であるかどうかを判定する（ステップ２０３）。記憶装置が正常であれば、通信制御部２６は、外部ＩＦ１１を介してイメージログを退避先の装置に送信する（ステップ２０４）。その後、通信制御部２６は、災害時の混乱に紛れた盗難による情報流出を防止するために、イメージログを消去（廃棄）する（ステップ２０５）。
【００３８】
一方、ステップ２０２でネットワークが正常でないと判定された場合、または、ステップ２０３で退避先の装置における記憶装置が正常でないと判定された場合は、イメージログの送信及び消去は行わない。
尚、ここでは、イメージログを外部へ退避後に消去したが、外部へ退避することなく消去してもよい。これもセキュリティポリシーでそのような設定をしておくことで実現される。
また、通信制御部２６は、変更後のセキュリティポリシーに従い、外部システムへの接続を遮断する（ステップ２０６）。尚、このとき、外部システムへのデータ送信は行えるようにするため、外部システムからのデータ受信のみ遮断する、といったアクセスの制限を行うようにしてもよい。これもセキュリティポリシーでそのような定義をしておくことにより実現される。
【００３９】
ところで、上記説明において、セキュリティポリシーの変更は災害情報のみに基づいて行い、自己診断またはネットワーク診断の結果は、図６のフローチャートで示したように、変更後のセキュリティポリシーに基づく処理を行う際に考慮するようにした。しかしながら、自己診断またはネットワーク診断の結果を考慮するタイミングは必ずしもこれには限らない。すなわち、セキュリティポリシーを変更する際に、自己診断またはネットワーク診断の結果を考慮してもよい。例えば、コピー機能やプリント機能等は、帯電部、露光部、現像部、転写部、定着部、紙送り部の診断結果に問題があれば、全ユーザに対し使用を拒否するようにセキュリティポリシーを変更するようにしてもよい。
【００４０】
また、これまでは、画像処理装置１０がセキュリティポリシーを格納、管理し、災害発生の状況等に応じてこれを変更する構成を示したが、かかる構成には限られない。
例えば、画像処理装置１０の外部にポリシーサーバを設け、このポリシーサーバが、複数の画像処理装置１０、その他のサーバのセキュリティポリシーを一括管理する構成を採用してもよい。
まず、この場合のコンピュータシステムの構成について説明する。
図７は、このコンピュータシステムの全体構成を示した図である。
図示するように、このコンピュータシステムは、画像処理装置１０ａ、１０ｂ、１０ｃと、ポリシーサーバ３０と、業務システム４０と、文書管理システム（ＤＭＳ）５０とがネットワークを介して接続されることにより構成されている。尚、図では、３台の画像処理装置１０を示しているが、画像処理装置の数はこれに限らない。
【００４１】
このコンピュータシステムにおいて、画像処理装置１０は、上記と同様、プリンタやファクシミリ、複写機などとして機能する画像形成装置と一体となった組み込みコンピュータ等のコンピュータ装置や、画像形成装置に外部接続されるパーソナルコンピュータ等のコンピュータ装置、またはスキャナなどとして機能する画像入力装置と一体となった組み込みコンピュータ等のコンピュータ装置や、画像入力装置に外部接続されるパーソナルコンピュータ等のコンピュータ装置などによって実現される。但し、セキュリティポリシーを管理する機能や、災害発生時にこれを変更する機能は有していない。
【００４２】
また、ポリシーサーバ３０は、セキュリティポリシーを一括管理するサーバコンピュータである。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータを用いて実現するとよい。上記のように、セキュリティポリシーを管理する機能や、災害発生時にこれを変更する機能が画像処理装置１０から除かれたが、このコンピュータシステムでは、この除かれた機能をポリシーサーバ３０が有するものとする。
【００４３】
更に、業務システム４０および文書管理システム５０は、画像処理装置１０がアクセスする外部システムとして機能するコンピュータシステムである。ここで、業務システム４０や文書管理システム５０は、例えば、パーソナルコンピュータやワークステーション、その他のコンピュータを用いて実現するとよい。
【００４４】
次に、ポリシーサーバ３０の機能構成について説明する。
図８は、本実施の形態が適用されるポリシーサーバ３０の構成例を示す機能ブロック図である。ポリシーサーバ３０は、例えば画像処理装置１０から各種情報を取得する等、外部との通信を実行する外部ＩＦ（インタフェース）３１を備えている。また、ポリシーサーバ３０は、災害情報（災害に関する情報）を取得する災害情報取得部３２と、この災害情報取得部３２から取得した災害情報に基づいてセキュリティポリシー（機密情報の取り扱いに関する規則）を変更するセキュリティポリシー変更部３３とを備えている。更に、セキュリティポリシー変更部３３にて、後述する災害種別判断や災害レベル（災害の段階）判断などが行われる際の各種情報が記憶されたメモリである区別情報記憶部３４を備えている。
【００４５】
また、ポリシーサーバ３０は、たとえばマウスおよびタッチパネルなどの位置指示装置またはキーボードなどの入力装置によるユーザの操作を受け付け、受け付けた操作に基づき画像処理に関する指示を特定するユーザインタフェース部（ＵＩ部）３５を備えている。更に、このＵＩ部３５によって設定され、セキュリティポリシー変更部３３によるセキュリティポリシーの変更規則を定義した変更定義を記憶する変更定義記憶部３６と、セキュリティポリシー変更部３３による変更の対象となるセキュリティポリシーを記憶するセキュリティポリシー記憶部３７とを備えている。
尚、外部ＩＦ３１、災害情報取得部３２、セキュリティポリシー変更部３３、区別情報記憶部３４、ＵＩ部３５、変更定義記憶部３６、セキュリティポリシー記憶部３７は、それぞれ、図１の外部ＩＦ１１、災害情報取得部１２、セキュリティポリシー変更部１３、区別情報記憶部１４、ＵＩ部１５、変更定義記憶部１６、セキュリティポリシー記憶部１７と同様であるので、詳しい説明は省略する。
【００４６】
ここで、ポリシーサーバ３０は、画像処理装置１０からの要求に応じてセキュリティポリシーを提供するサーバとして機能するものである。従って、セキュリティポリシー記憶部３７から要求されたセキュリティポリシーを検索するセキュリティポリシー検索部３８を備えている。
尚、ポリシーサーバ３０によるセキュリティポリシーの変更動作は、図５に示したものと同様なので、ここでは詳しい説明を省略する。
【００４７】
ところで、画像処理装置１０は、ユーザが機能の使用を要求した際、ユーザを認証するために、ポリシーサーバ３０に対しユーザ情報を送信し、セキュリティポリシーを問い合わせることになる。しかしながら、災害発生時、ネットワークが切断されてしまうと、緊急時であっても、ユーザを認証できず、必要な処理を行えないことが考えられる。そのような事態に備え、画像処理装置１０にも災害用のセキュリティポリシーを用意しておき、ポリシーサーバ３０への接続に失敗した場合には、この災害用のセキュリティポリシーを参照するようにしてもよい。
【００４８】
最後に、画像処理装置１０のコンピュータとして機能する部分、および、ポリシーサーバ３０についてのハードウェア構成について説明する。
図９は、例えば画像処理装置１０のコンピュータとして機能する部分、および、ポリシーサーバ３０におけるハードウェア構成を示した図である。図９に示すコンピュータは、演算手段であるＣＰＵ(Central Processing Unit)９０１と、 マザーボード(Ｍ/Ｂ)チップセット９０２と、ＣＰＵバスを介してＣＰＵ９０１に接続されたメインメモリ９０３とを備えている。また、Ｍ/Ｂチップセット９０２を介して例えばビデオカード等のディスプレイインタフェース９０４とディスプレイ９１０とがＣＰＵ９０１に接続されている。また、例えばＰＣＩ(Peripheral Component Interconnect)バス等を介してＭ/Ｂチップセット９０２に接続された磁気ディスク装置(ＨＤＤ)９０５および通信インタフェース９０６を備えている。更にこのＰＣＩバスからブリッジ回路９０７およびＩＳＡ(Industry Standard Architecture)バス等の低速なバスを介してＭ/Ｂチップセット９０２に接続されたキーボード/ポインティングデバイス９０９を備える。
【００４９】
ここで、ＣＰＵ９０１は、ＯＳ(Operating System)やアプリケーション等の各種ソフトウェアを実行し、上述した各種機能を実現する。また、作業用メモリとして機能するメインメモリ９０３は、各種ソフトウェアやその実行に用いるデータ等を記憶する記憶領域を有している。更に、磁気ディスク装置９０５は、各種ソフトウェアに対する入力データや各種ソフトウェアからの出力データ等を記憶する記憶領域を備えたメモリである。本実施の形態では、区別情報記憶部１４、３４としても機能する。尚、磁気ディスク装置９０５の代わりに、フラッシュメモリに代表される半導体メモリ等が用いられる場合がある。また、本実施の形態にて、ユーザインタフェース部１５、３５は、ディスプレイ９１０やキーボード/ポインティングデバイス９０９を介してＵＩを提供している。更に、外部ＩＦ１１、３１は、通信インタフェース９０６のハードウェアを用いて実現される。
【００５０】
このように、本実施の形態に示す各種処理は、作業用のメモリであるメインメモリ９０３を用いて、ＣＰＵ９０１にて実行されるアプリケーションプログラムで実現される。このアプリケーションプログラムは、コンピュータである画像処理装置１０を顧客（ユーザを含む）に対して提供する際に、装置の中にインストールされた状態にて提供する他、コンピュータに実行させるプログラムをコンピュータが読取可能に記憶した記憶媒体等にて提供してもよい。この記憶媒体としては、例えばＣＤ−ＲＯＭ媒体等が該当し、ＣＤ−ＲＯＭ読取装置（図示せず）等によってプログラムが読み取られて実行される。また、これらのプログラムは、例えばプログラム伝送装置（図示せず）によってネットワーク等の通信手段を介し、ネットワークインタフェース等の通信インタフェース９０６を経由して提供される形態がある。このプログラム伝送装置としては、例えば、ホスト側のサーバコンピュータ等に設けられ、プログラムを記憶するメモリと、ネットワークを介してプログラムを提供するプログラム伝送手段とを備えている。
【図面の簡単な説明】
【００５１】
【図１】本実施の形態が適用される画像処理装置の構成例を示す機能ブロック図である。
【図２】災害情報取得部にて取得され、セキュリティポリシーの変更処理に用いられる災害情報の一例を示した図である。
【図３】区別情報記憶部に記憶されるレベル判断テーブルの例を示した図である。
【図４】セキュリティポリシーの変更定義の例を示した図である。
【図５】画像処理装置の災害情報取得部およびセキュリティポリシー変更部にて実行される処理を示したフローチャートである。
【図６】変更後のセキュリティポリシーが特定の設定になっている場合における通信制御部の処理を示したフローチャートである。
【図７】本実施の形態が適用されるコンピュータシステムの構成例を示した図である。
【図８】本実施の形態が適用されるポリシーサーバの構成例を示す機能ブロック図である。
【図９】例えば画像処理装置として機能するコンピュータのハードウェア構成を示した図である。
【符号の説明】
【００５２】
１０…画像処理装置、１１…外部ＩＦ（インタフェース）、１２…災害情報取得部、１３…セキュリティポリシー変更部、１４…区別情報記憶部、１５…ユーザインタフェース部（ＵＩ部）、１６…変更定義記憶部、１７…セキュリティポリシー記憶部、１８…診断実行部、２０…装置制御部、２１…画像取得部、２２…画像処理部、２３…画像形成部、２４…ユーザ認証部、２５…内部情報記憶部、２６…通信制御部
【図１】
2008158867.tif 000003
【図２】
2008158867.tif 000004
【図３】
2008158867.tif 000005
【図４】
2008158867.tif 000006
【図５】
2008158867.tif 000007
【図６】
2008158867.tif 000008
【図７】
2008158867.tif 000009
【図８】
2008158867.tif 000010
【図９】
2008158867.tif 000011