(57)【要約】【課題】  アクセス制御が設定された文書が漏洩しても、その文書のデータを管理者が閲覧可能にする為の技術を提供すること。【解決手段】  送信指示されたデータにポリシーデータが付加されているか否かを判断し（Ｓ４０１）、付加されている場合、管理者ポリシーがポリシーデータに含まれているか否かを判断する（Ｓ４０４）。含まれている場合には送信指示されたデータを送信し（Ｓ４０６）、含まれていない場合には、管理者ポリシーを含むポリシーデータを取得し（Ｓ４０８，Ｓ４１０）、送信指示されたデータに付加してから送信する（Ｓ４０９，Ｓ４１０）。【選択図】  図４
2007226464.tif 000002
【特許請求の範囲】
【請求項１】
指示されたデータをネットワークを介して外部に送信する情報処理装置であって、
送信指示された注目データに対して許可されたアクセス内容を記したポリシーデータが、当該注目データに付加されているか否かを判断する第１の判断手段と、
前記第１の判断手段が付加されていると判断した場合、管理者が前記注目データに対して許可されたアクセス内容を記した管理者ポリシーデータが前記ポリシーデータに含まれているか否かを判断する第２の判断手段と、
前記第１，２の判断手段による判断結果に応じて、前記注目データの送信処理を制御する制御手段と
を備えることを特徴とする情報処理装置。
【請求項２】
前記第１の判断手段が付加されていないと判断した場合、前記制御手段は、前記注目データの送信を中止することを特徴とする請求項１に記載の情報処理装置。
【請求項３】
前記第２の判断手段が含まれていると判断した場合、前記制御手段は、前記注目データの送信を行うことを特徴とする請求項１に記載の情報処理装置。
【請求項４】
前記制御手段は、
前記第２の判断手段が含まれていないと判断した場合には、前記管理者ポリシーデータを含むポリシーデータが前記情報処理装置の外部に存在するか否かを判断する第３の判断手段と、
前記第３の判断手段が存在すると判断した場合には、当該外部を検索して前記管理者ポリシーデータを含むポリシーデータを取得する第１の取得手段と、
前記第３の判断手段が存在しないと判断した場合には、当該外部に対して前記管理者ポリシーデータを含むポリシーデータの作成を要求することで、当該ポリシーデータを当該外部から取得する第２の取得手段とを備え、
前記第１の取得手段、若しくは前記第２の取得手段が取得したポリシーデータを付加した前記注目データの送信を行うことを特徴とする請求項１に記載の情報処理装置。
【請求項５】
前記制御手段は、
前記第２の判断手段が含まれていないと判断した場合には、前記注目データに付加されているポリシーデータを外部に送信し、前記管理者ポリシーデータを含むポリシーデータに更新する要求を行うことで、当該更新後のポリシーデータを当該外部から取得する取得手段を備え、
前記取得手段が取得したポリシーデータを付加した前記注目データの送信を行うことを特徴とする請求項１に記載の情報処理装置。
【請求項６】
指示されたデータを処理する処理手段と、
前記指示されたデータに関連付けられたアクセス権情報を参照して、特定のユーザに前記指示された文書へのアクセスが許可されているか否かを判断する判断手段と、
前記判断手段が特定のユーザに前記指示された文書へのアクセスが許可されていると判断した場合、前記指示されたデータに関連付けられたアクセス権情報を変更することなく前記処理手段に前記指示されたデータの処理を実行させ、前記判断手段が特定のユーザに前記指示された文書へのアクセスが許可されていないと判断した場合には、前記特定のユーザが前記指示されたデータへアクセスすることが許可されるように前記指示されたデータに関連付けられたアクセス権情報を変更した上で前記処理手段に前記指示されたデータの処理を実行させる制御手段と
を備えることを特徴とする情報処理装置。
【請求項７】
指示されたデータをネットワークを介して外部に送信する情報処理装置が行う情報処理方法であって、
送信指示された注目データに対して許可されたアクセス内容を記したポリシーデータが、当該注目データに付加されているか否かを判断する第１の判断工程と、
前記第１の判断工程で付加されていると判断した場合、管理者が前記注目データに対して許可されたアクセス内容を記した管理者ポリシーデータが前記ポリシーデータに含まれているか否かを判断する第２の判断工程と、
前記第１，２の判断工程による判断結果に応じて、前記注目データの送信処理を制御する制御工程と
を備えることを特徴とする情報処理方法。
【請求項８】
指示されたデータを処理する処理工程と、
前記指示されたデータに関連付けられたアクセス権情報を参照して、特定のユーザに前記指示された文書へのアクセスが許可されているか否かを判断する判断工程と、
前記判断工程で特定のユーザに前記指示された文書へのアクセスが許可されていると判断した場合、前記指示されたデータに関連付けられたアクセス権情報を変更することなく前記処理工程で前記指示されたデータの処理を実行させ、前記判断工程で特定のユーザに前記指示された文書へのアクセスが許可されていないと判断した場合には、前記特定のユーザが前記指示されたデータへアクセスすることが許可されるように前記指示されたデータに関連付けられたアクセス権情報を変更した上で前記処理工程で前記指示されたデータの処理を実行させる制御工程と
を備えることを特徴とする情報処理方法。
【請求項９】
コンピュータに請求項７又は８に記載の情報処理方法を実行させるためのプログラム。
【請求項１０】
請求項９に記載のプログラムを格納したことを特徴とする、コンピュータ読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は外部へのデータ送信技術に関するものである。
【背景技術】
【０００２】
近年、個々のユーザに対するファイルへの様々なアクセス（例えば閲覧、有効期限、コピー、印刷、変更等）制御が設定可能なアクセス権限制御サーバが市場に登場した。これにより、ファイルを作成した作成者は、配布したファイルに対してユーザ個々のレベルでアクセス制御が可能になった。
【０００３】
例えばＡＤＯＢＥ ＳＹＳＴＥＭＳ社がＬｉｖｅＣｙｃｌｅ Ｐｏｌｉｃｙ Ｓｅｒｖｅｒを発表し、ＰＤＦファイルに対して上述のアクセス制御を可能にしている。
【０００４】
また、Ｍｉｃｒｏｓｏｆｔ（登録商標）社は、Ｗｉｎｄｏｗｓ（登録商標） Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ Ｓｅｒｖｉｃｅｓを発表し、Ｍｉｃｒｏｓｏｆｔ（登録商標）社製のＯｆｆｉｃｅアプリケーションに対して上述のアクセス制御を可能にしている。
【０００５】
また近年、企業等において、機密文書の漏洩が問題になっている。機密文書は電子データの形態も紙媒体の形態も考えられる。このような背景から文書の印刷履歴と印刷データとをサーバ装置に保管するシステムが提案されている（特許文献１を参照）。このシステムによると、機密文書の漏洩が発生した場合には、管理者(システム管理者、ネットワーク管理者等)が保管された印刷履歴と印刷データとを解析することにより機密文書漏洩の原因の追跡調査が可能になる。
【０００６】
一方、近年の複合機は、電子ドキュメントを電子メールに添付する方法や、種々のプルトコルによって、パーソナルコンピュータやサーバコンピュータの共有フォルダに直接送信する方法等により、電子ドキュメントを送信する機能が付いたものが登場している。
【特許文献１】特開２００３−３３０６７７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、漏洩した機密文書の電子データが管理者以外のユーザにのみ閲覧可能というようなアクセス制御が設定されていた場合には、追跡調査を行うであろう管理者が追跡調査用に蓄積した文書データを閲覧できず、追跡調査を行うことができないという課題があった。
【０００８】
本発明は以上の問題に鑑みてなされたものであり、アクセス制御が設定された文書が漏洩しても、その文書のデータを管理者が閲覧可能にする為の技術を提供することを目的とする。
【課題を解決するための手段】
【０００９】
本発明の目的を達成する為に、例えば、本発明の情報処理装置は以下構成を備える。
【００１０】
即ち、指示されたデータをネットワークを介して外部に送信する情報処理装置であって、
送信指示された注目データに対して許可されたアクセス内容を記したポリシーデータが、当該注目データに付加されているか否かを判断する第１の判断手段と、
前記第１の判断手段が付加されていると判断した場合、管理者が前記注目データに対して許可されたアクセス内容を記した管理者ポリシーデータが前記ポリシーデータに含まれているか否かを判断する第２の判断手段と、
前記第１，２の判断手段による判断結果に応じて、前記注目データの送信処理を制御する制御手段と
を備えることを特徴とする。
【００１１】
本発明の目的を達成する為に、例えば、本発明の情報処理装置は以下構成を備える。
【００１２】
即ち、指示されたデータを処理する処理手段と、
前記指示されたデータに関連付けられたアクセス権情報を参照して、特定のユーザに前記指示された文書へのアクセスが許可されているか否かを判断する判断手段と、
前記判断手段が特定のユーザに前記指示された文書へのアクセスが許可されていると判断した場合、前記指示されたデータに関連付けられたアクセス権情報を変更することなく前記処理手段に前記指示されたデータの処理を実行させ、前記判断手段が特定のユーザに前記指示された文書へのアクセスが許可されていないと判断した場合には、前記特定のユーザが前記指示されたデータへアクセスすることが許可されるように前記指示されたデータに関連付けられたアクセス権情報を変更した上で前記処理手段に前記指示されたデータの処理を実行させる制御手段と
を備えることを特徴とする。
【００１３】
本発明の目的を達成する為に、例えば、本発明の情報処理方法は以下構成を備える。
【００１４】
即ち、指示されたデータをネットワークを介して外部に送信する情報処理装置が行う情報処理方法であって、
送信指示された注目データに対して許可されたアクセス内容を記したポリシーデータが、当該注目データに付加されているか否かを判断する第１の判断工程と、
前記第１の判断工程で付加されていると判断した場合、管理者が前記注目データに対して許可されたアクセス内容を記した管理者ポリシーデータが前記ポリシーデータに含まれているか否かを判断する第２の判断工程と、
前記第１，２の判断工程による判断結果に応じて、前記注目データの送信処理を制御する制御工程と
を備えることを特徴とする。
【００１５】
本発明の目的を達成する為に、例えば、本発明の情報処理方法は以下構成を備える。
【００１６】
即ち、指示されたデータを処理する処理工程と、
前記指示されたデータに関連付けられたアクセス権情報を参照して、特定のユーザに前記指示された文書へのアクセスが許可されているか否かを判断する判断工程と、
前記判断工程で特定のユーザに前記指示された文書へのアクセスが許可されていると判断した場合、前記指示されたデータに関連付けられたアクセス権情報を変更することなく前記処理工程で前記指示されたデータの処理を実行させ、前記判断工程で特定のユーザに前記指示された文書へのアクセスが許可されていないと判断した場合には、前記特定のユーザが前記指示されたデータへアクセスすることが許可されるように前記指示されたデータに関連付けられたアクセス権情報を変更した上で前記処理工程で前記指示されたデータの処理を実行させる制御工程と
を備えることを特徴とする。
【発明の効果】
【００１７】
本発明の構成によれば、アクセス制御が設定された文書が漏洩しても、その文書のデータを管理者が閲覧可能にすることができる。
【発明を実施するための最良の形態】
【００１８】
以下添付図面を参照して、本発明を好適な実施形態に従って詳細に説明する。
【００１９】
［第１の実施形態］
図３は、本実施形態に係るシステムの構成例を示す図である。同図に示す如く、本実施形態に係るシステムは、クライアントコンピュータ３１０、ポリシーサーバコンピュータ３２０、複合機３３０、ジョブアーカイブサーバ３４０により構成されており、それぞれはＬＡＮやインターネットなどのネットワーク３００に接続されている。従って、それぞれの装置はこのネットワーク３００を介して互いにデータ通信が可能となる。なお、図３には示していないが、ネットワーク３００には他にも各種サーバコンピュータ、クライアントコンピュータ、複合機などの様々な装置が接続されている。
【００２０】
ポリシーサーバコンピュータ３２０は、複合機３３０やクライアントコンピュータ３１０などが保持する各種のデータについてユーザ毎のアクセス権を定めだデータ（ポリシーデータという）を保持するものである。複合機３３０やクライアントコンピュータ３１０などが保持する各種のデータとしては、例えば文書データや画像データなどがある。アクセス権としては、例えば閲覧、コピー、印刷、変更等の操作に関する権限や文書の有効期限がある。即ち、複合機３３０やクライアントコンピュータ３１０が有する各種のデータに対するユーザＡのアクセス権を記したポリシーデータ、複合機３３０が有する各種のデータに対するユーザＢのアクセス権を記したポリシーデータ、、、というように、ユーザ毎に、アクセス権を記したポリシーデータを保持する。なお、データに対しポリシーサーバコンピュータ３２０が管理するポリシーデータを適用することによってアクセス権の管理を可能な状態にすることを、「データにポリシーを付与する」と表現する。
【００２１】
複合機３３０は、コピー機能や、スキャナ機能やプリント機能などを備えると共に、保持しているデータをネットワーク３００を介して外部に送信する送信機能を有する。複合機３３０が保持しているデータとしては、ドキュメントデータや画像データなどがある。複合機３３０がこれらのデータを取得する形態については特に限定するものではなく、自身が有するスキャナ機能により取得するようにしても良いし、ネットワーク３００を介して外部装置から取得しても良い。複合機３３０は自身が保持しているデータのうち、送信指示されたデータを指示された送信先に送信する際には、ポリシーサーバコンピュータ３２０と通信を行いポリシーを付与する。
【００２２】
クライアントコンピュータ３１０は、複合機３３０から送信されたデータを受信するものである。複合機３３０が各種機能を実行した場合（これら各種機能の実行をジョブという）、複合機３３０は当該ジョブの動作履歴データと、当該ジョブで扱われた画像データとをジョブアーカイブサーバ３４０へ送信する。ジョブアーカイブサーバ３４０は、受信した動作履歴データと画像データとを関連付けてハードディスクに記憶する。
【００２３】
ネットワーク３００は上述の通り、ＬＡＮやインターネットなどにより構成されており、例えば、ＴＣＰ／ＩＰプロトコルをサポートするネットワークである。
【００２４】
図１は、複合機３３０のハードウェア構成例を示すブロック図である。即ち、複合機３３０に適用可能な装置のハードウェア構成は、同図に示したもの以外にも、適宜変形例が考えられる。
【００２５】
１０１はＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）で、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１０２やＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１０４に格納されているプログラムやデータを用いて同図に示した各部の動作制御を行うと共に、複合機３３０が行う後述の各処理を実行する。
【００２６】
１０２はＲＯＭで、複合機３３０の設定データやブートプログラム、複合機３３０が行う後述の各処理をＣＰＵ１０１に実行させるためのプログラムやデータ等を格納する。これらのプログラムやデータはＣＰＵ１０１による制御に従って適宜ＲＡＭ１０４にロードされ、ＣＰＵ１０１による処理対象となる。
【００２７】
１０３はハードディスクで、ＯＳ（オペレーティングシステム）や、外部から受信したデータなどを保存する。なお、ＲＯＭ１０２に格納されているものとして説明した上記プログラムやデータの一部をハードディスク１０３に保存させておき、必要に応じてＲＡＭ１０４にロードするようにしても良い。
【００２８】
１０４はＲＡＭで、ハードディスク１０３やＲＯＭ１０２からロードされたプログラムやデータ、外部から受信したプログラムやデータを一時的に記憶するためのエリアを有する。また、ＣＰＵ１０１が各処理を実行する際に用いるワークエリアも有する。即ち、ＲＡＭ１０４は、適宜各種の記憶エリアを提供することができる。
【００２９】
１０６は表示部で、装置の状態、あるいは入力情報などの各種情報を表示するためのものである。表示部１０６は例えば、タッチパネル式の液晶画面であり、この表示部１０６に対して指などでもって指示することで、例えばスキャン部数やプリント部数などを指示することができる。
【００３０】
１０７は操作部で、ユーザによる設定や命令等の入力操作を行うためのテンキーやスタートキー等の物理的なキーにより構成されている。なお、表示部１０６がタッチパネル式のものである場合には、操作部１０７の一部は表示部１０６に含まれることになる。
【００３１】
１０８は通信制御部で、本装置をネットワーク３００に接続するためのものであり、各種のデータや制御コマンド等の送受信を制御する。
【００３２】
１０９は網制御装置で、ＰＳＴＮ（Ｐｕｂｌｉｃ Ｓｗｉｔｃｈｅｄ Ｔｅｌｅｐｈｏｎｅ Ｎｅｔｗｏｒｋ）に接続し、発着信の際に所定の回線制御を実行して回線接続あるいはその切断を行う。そして各種のデータや制御信号を、内蔵するモデム装置により変復調し、ファクシミリ送受信を実行する。
【００３３】
１１１は読み取り装置で、スキャナ機能を有しており、周知の通り、紙などの記録媒体に対して光を照射し、反射光に応じたデータを取得する。取得したデータは印刷制御部１１０を介して通信制御部１０８やハードディスク１０３、記録装置１１２に送出される。
【００３４】
１１２は記録装置で、印刷制御部１１０を介して受けたデータに基づいた情報を紙などの記録媒体上に記録する動作を行う。この動作制御は印刷制御部１１０によって行われる。
【００３５】
１１３は画像メモリで、読み取り装置１１１や通信制御部１０８を介して取得したデータを画像データとして一時的に記録するためのものである。なお、この画像メモリ１１３はハードディスク１０３やＲＡＭ１０４内に設けるようにしても良い。
【００３６】
１１４は画像処理部で、送信するデータをデータ圧縮して符号化したり、受信したデータを伸張して復号したり、受信した印字データを画像データに変換したり、保存するデータを適切な又はユーザから指定されたフォーマット（例えばＰＤＦ等）にフォーマット変換したり、読み取り装置１１１の光学応答特性やセンダのばらつき等に応じた画像補正処理を行ったり、ユーザが操作部１０７から入力操作する画像の変倍処理等に応じた画像加工処理を行ったり、記録装置１１２の書き込み特性等に適したデータにする画像最適化処理などを要求に応じて行う。
【００３７】
認証処理部１１５はユーザやワークグループの認証に加えて、印刷ジョブ認証を行ったりする。
【００３８】
システムバス１１６は、ＣＰＵ１０１、ＲＯＭ１０２、ハードディスク１０３、ＲＡＭ１０４、表示部１０６、操作部１０７、通信制御部１０８、印刷制御部１１０、画像メモリ１１３、画像処理部１１４、認証処理部１１５を接続している。
【００３９】
複合機３３０は、読み取り画像データをＰＳＴＮを介して送信するファクシミリ送信機能や、ネットワーク３００を介して外部にデータ送信する送信機能と、読み取り画像データを記録出力する複写機能と、ＰＳＴＮやネットワーク３００１を介して受信した画像データを印刷する受信印刷機能と、クライアントコンピュータからの印刷データを受信して印刷する印刷機能とを備えている。従って複合機３３０は複写機としてだけではなく、ファクシミリ装置、プリンタ装置、スキャナ装置としても利用することが可能になっている。
【００４０】
なお、記録装置１１２は、電子写真記録方式以外にも、例えばインクジェット方式、サーマルヘッド方式、ドットインパクト方式など、その他何であってもよいことは言うまでもない。
【００４１】
図２は、クライアントコンピュータ３１０やポリシーサーバコンピュータ３２０やジョブアーカイブサーバ３４０に適用可能なコンピュータのハードウェア構成を示すブロック図である。
【００４２】
２０１はＣＰＵで、ＲＯＭ２０２やＲＡＭ２０３に格納されているプログラムやデータを用いて本コンピュータ全体の制御を行うと共に、本コンピュータを適用した各装置が行う後述の各処理を実行する。
【００４３】
２０２はＲＯＭで、設定データやブートプログラムなどを格納する。
【００４４】
２０３はＲＡＭで、ＨＤ（ハードディスク）２１０からロードされたプログラムやデータ、Ｉ／Ｆ２０５を介して外部から受信したデータ等を一時的に記憶する為のエリアを備える。更にＲＡＭ１０４には、ＣＰＵ２０１が各種の処理を実行する際に用いるワークエリアも備わっている。即ち、ＲＡＭ２０３は、各種のエリアを適宜提供することができる。
【００４５】
２０５はＩ／Ｆで、本コンピュータを上記ネットワーク３００に接続するためのものであり、本コンピュータはこのＩ／Ｆ２０５を介して外部とのデータ通信を行うことになる。
【００４６】
２０６はＤＫＣ（ディスクコントローラ）で、記憶媒体ドライブ装置２０９やＨＤ２１０の動作制御を行う。
【００４７】
記憶媒体ドライブ装置２０９は、ＣＤ−ＲＯＭやＤＶＤ−ＲＯＭなどの記憶媒体に記録されているプログラムやデータを読み出してＨＤ２１０やＲＡＭ２０３に送出する。ＨＤ２１０はＯＳ（オペレーティングシステム）を保存するものである。また、本コンピュータをクライアントコンピュータ３１０に適用する場合には、ＨＤ２１０には、クライアントコンピュータ３１０が行う後述の各処理をＣＰＵ２１０に実行させるためのプログラムやデータが保存されている。また、本コンピュータをポリシーサーバコンピュータ３２０に適用する場合には、ＨＤ２１０には、ポリシーサーバコンピュータ３２０が行う後述の各処理をＣＰＵ２１０に実行させるためのプログラムやデータ、上記ポリシーデータが保存されている。
【００４８】
これらのプログラムやデータはＣＰＵ２１０による制御に従って適宜ＲＡＭ２０３にロードされる。そしてＣＰＵ２１０がこのロードされたプログラムやデータを用いて処理を実行することで、本コンピュータを適用した各装置は後述する各処理を実行することになる。
【００４９】
２０７はＣＲＴＣ（ＣＲＴコントローラ）で、ＣＲＴ２１１への画像信号の送出制御を行う。ＣＲＴ２１１はＣＰＵ２１０による処理結果を画像や文字などでもって表示する。なお、ＣＲＴ以外にも液晶画面等を用いても良い。
【００５０】
２０８はＫＢＣ（キーボードコントローラ）で、ＫＢ（キーボード）２１２を用いて入力された操作入力に応じた信号をＣＰＵ２１０に通知するものである。なお、操作デバイスとしてはＫＢ２１２以外にも、例えばマウスを用いても良い。
【００５１】
２０４は上述のＣＰＵ２１０、ＲＯＭ２０２、ＲＡＭ２０３、Ｉ／Ｆ２０５、ＤＫＣ２０６、ＣＲＴＣ２０７、ＫＢＣ２０８を繋ぐバスである。
【００５２】
次に、図９〜図１１を参照して、データにポリシーを付与する処理について説明する。なお、図９〜図１１では、ポリシーを付与するデータとして文書データ（単に文書と称することもある）を例に挙げて説明するが、ポリシーを付与する対象は文書以外のデータでも良い。
【００５３】
図９は、ポリシーサーバコンピュータ３２０が管理する、ポリシーデータベースの一例を示す図である。
【００５４】
ポリシーデータベース９００は、ポリシーサーバコンピュータ３２０のハードディスク２１０にて保存される。ポリシーデータベース９００は、アクセス権に関する情報である複数のポリシーデータを保持しており、１つのポリシーデータは、ポリシーＩＤ９０２で一意に特定される。１つのポリシーデータには、ユーザＩＤ９０４で特定される１以上のユーザ毎に文書に対するアクセス（操作）の許可或いは不許可が設定されている。更に、１つのポリシーデータには文書の有効期限９１２を設定することが可能である。有効期限を超過した場合、当該ポリシーが付与された文書へのアクセスが不可になる。つまり、文書に対するアクセス権限の例として、図９では閲覧権限９０６、印刷権限９０８、編集権限９１０が設定可能である。もちろん、それ以外のアクセス権限を設定可能としてもよい。このような、1つ以上のアクセス権限の許可／禁止の設定を単にポリシーと称することもある。
【００５５】
各権限の設定として「ＯＫ」と設定されていれば文書に対する当該操作が許可され、「ＮＧ」と設定されていれば当該操作は禁止される。
【００５６】
図１０は、ポリシーを付与された文書に対して文書ＩＤ１００２とポリシーＩＤ１００４とを関連付けるテーブル１０００の例を示す図である。このテーブルはポリシーサーバコンピュータ３２０のハードディスク２１０に保存される。
【００５７】
文書ＩＤ１００２はポリシーを付与する文書に対してポリシーサーバコンピュータ３２０が発行する、当該文書を一意に特定するＩＤである。ポリシーＩＤ１００４は、図９のポリシーデータベース９００の内のポリシーＩＤ９０２に相当する。
【００５８】
また、ポリシーが付与された文書は暗号化されるので、暗号化文書を復号するための復号鍵１００６が文書ＩＤ１００２に関連付けられている。
【００５９】
クライアントコンピュータ３１０から、クライアントコンピュータ３１０に記憶されているある文書に対してポリシーを付与する要求がポリシーサーバコンピュータ３２０にあった場合におけるポリシーの付与について説明する。
【００６０】
ポリシーサーバコンピュータ３２０は、クライアントコンピュータ３１０からの要求に基づいて、アクセス権限を付与する文書の文書ＩＤを生成する。そしてクライアントコンピュータ３１０から指定されるポリシーＩＤ、および、当該文書の復号鍵とを関連付け、ハードディスク２１０に保存されているテーブル１０００に登録する。そして、ネットワーク３００を介して、クライアントコンピュータ３１０に暗号鍵と文書ＩＤとを送信する。クライアントコンピュータ３１０は、受信した暗号鍵でポリシーを付与する文書を暗号化し、そして、暗号化文書に文書ＩＤと、ポリシーサーバコンピュータ３２０を特定する情報（ホスト名やＩＰアドレスなど）を付加する。暗号化が完了した後は受信した暗号鍵は削除して構わない。
【００６１】
以上の処理を行うことで文書に対するポリシー付与が完了する。
【００６２】
図１１にポリシーが付与される文書の各状態を示す。
【００６３】
文書ファイル１１０２はポリシーが付与される前の文書である。暗号化文書ファイル１１０４はポリシーサーバから取得した暗号鍵で文書ファイル１１０２を暗号化した状態を示す。ポリシーが付与された文書ファイル１１０６は暗号化文書ファイル１１０４に文書ＩＤとポリシーサーバコンピュータ３２０を特定する情報が付加されている。１１０６の文書を生成することで文書にポリシーが付与されたことになる。
【００６４】
なお、ポリシーが付与された文書ファイル１１０６には、ポリシーサーバコンピュータ３２０を特定する情報の代わりにポリシーＩＤで定義されるポリシーデータそのものを保持させるようにしても良い。
【００６５】
一方、ポリシーが付与された文書のアクセスを行おうとするユーザは、クライアントコンピュータ３１０等を操作して、ネットワーク３００を介して、当該文書の文書ＩＤと当該ユーザのユーザＩＤとをポリシーサーバコンピュータ３２０へ送信する。
【００６６】
ポリシーサーバコンピュータ３２０は、受信した文書ＩＤに対応するポリシーＩＤで特定されるポリシーデータから、当該ユーザＩＤに対するアクセス権限情報と、受信した文書ＩＤに対応する復号鍵をクライアントコンピュータ３１０へ送信する。クライアントコンピュータ３１０上で動作している当該文書を操作するためのアプリケーションプログラムは、受信した復号鍵で当該文書を復号する。そして、ポリシーサーバコンピュータ３２０から受信したアクセス権限情報や有効期限に基づいて当該ユーザによる当該文書に対する操作の許可、禁止を制御する。
【００６７】
なお、ユーザがポリシーデータそのものを保持している文書ファイルにアクセスする場合には、文書ファイルが保持しているポリシーデータに従って当該文書に対する操作の許可、禁止を制御することができる。この場合、クライアントコンピュータ３１０とポリシーサーバコンピュータ３２０との間で通信を行う必要はない。
【００６８】
上記のポリシー付与の処理、ポリシーが付与された文書に対するアクセスの処理は、クライアントコンピュータ３１０で文書をアクセスする場合に限らず、複合機３３０で文書を操作（例えば印刷など）する場合においても適用可能である。
【００６９】
図４は、複合機３３０が保持するデータのうち、注目データ（例えば、ユーザが指定したデータ）を、ネットワーク３００を介してクライアントコンピュータ３１０に送信する指示が複合機３３０に対して入力された場合に、複合機３３０が行う処理のフローチャートである。注目データとしては、予め複合機３３０が保持しているデータのみならず、読み取り装置１１１が紙原稿を読み取ることによって生成したデータを対象としても良い。なお、同図のフローチャートに従った処理をＣＰＵ１０１に実行させるためのプログラムやデータは、ＲＯＭ１０２、若しくはハードディスク１０３に保存されている。このプログラムやデータはＣＰＵ１０１による制御に従って適宜ＲＡＭ１０４にロードされる。そしてＣＰＵ１０１がこのロードされたプログラムやデータを用いて処理を実行することで、複合機３３０は後述する各処理を実行する。ただし、図４のフローチャートでは、複合機３３０のみでなく、ポリシーサーバコンピュータ３２０の処理を伴うステップもある。
【００７０】
操作部１０７や表示部１０６等を用いて送信データを選択し、送信指示を入力すると、先ずステップＳ４０１では、送信指示されたデータ（送信データ）のチェック処理を行う。このチェック処理の結果、送信指示されたデータにポリシーが付与されていない場合には（ステップＳ４０２でＮｏ）処理をステップＳ４０３に進める。なお、ポリシーが付与されているか否かのチェックは、図１１の文書１１０６のように、送信データに文書ＩＤやポリシーサーバコンピュータ３２０を特定する情報が付加されているか否かに基づいて行われる。或いは、ポリシーデータそのものをデータに付加することによってポリシーが付与されているデータに対しては、データにポリシーデータが付加されているか否かによっても判定可能である。ステップＳ４０３では、この送信指示されたデータの送信処理を中断し、このデータの送信は行わない。図５は、ステップＳ４０３において表示部１０６の表示画面上に表示される画面の表示例を示す図である。
【００７１】
本実施形態では、送信データの漏洩を未然に防ぐために、全ての送信データにはポリシーが付与されているものとするので、ポリシーが付与されていないデータについては送信を行わないようにしている。しかし運用次第では、ポリシーが付与されていないデータについては、漏洩した時に監査を行う管理者は閲覧可能であるので、これを送信するようにしても良い。この場合、ステップＳ４０３における処理はスキップしてステップＳ４０６に進める。或いは、送信データにポリシーが付与されていない場合には、送信宛先のユーザと管理者に対してアクセスを許可するようなポリシーを付与した上で送信処理を行うようにしても良い。
【００７２】
一方、送信指示されたデータにポリシーが付与されている場合には処理をステップＳ４０２を介してステップＳ４０４に進める。ステップＳ４０４ではポリシーサーバコンピュータ３２０から取得、或いは送信指示データに付加されているポリシーデータをチェックする。このチェック処理の結果、送信指示されたデータに対して管理者がアクセス可能なポリシーデータが付与されている場合（ステップＳ４０５でＹｅｓ）には処理をステップＳ４０６に進める。一方、ポリシーデータには管理者に対するアクセス権が何も設定されていない場合もステップＳ４０５でＮｏと判定し、処理をステップＳ４０７へ進める。また、送信指示されたデータに対して管理者に対する何らかのアクセス権限が設定されているポリシーデータであるが、その内容が、管理者によるアクセスが不可と設定されている場合もステップＳ４０５でＮｏと判定する。そして処理をステップＳ４０７へ進める。なお、「管理者」とは、機密文書の漏洩が発覚した場合などに、ジョブアーカイブサーバ３４０内に蓄積されたアーカイブデータにアクセスして追跡調査を行う特定ユーザを指す。例えば、複合機３３０やネットワーク３００等のシステムを管理するユーザなどが管理者に相当する。管理者は１名でも良いし、複数名でも良い。複合機３３０のＨＤＤ１０３には、管理者を特定するユーザＩＤが記憶されているものとする。
【００７３】
ステップＳ４０６では、送信指示されたデータが漏洩した時に、管理者が監査可能なデータであるので、送信指示されたデータを、指示された送信先（クライアントコンピュータ３１０）に送信する処理を行う。
【００７４】
一方、ステップＳ４０７では、送信指示されたデータに現在付加されているポリシーデータに、管理者によるアクセスを可能とするポリシーを含ませたポリシーデータがポリシーサーバコンピュータ３２０内に保存されているかチェックする。そのために、ポリシーサーバコンピュータ３２０に対してこのようなポリシーデータの検索を要求する。「送信指示されたデータに現在付与されているポリシーデータに管理者ポリシーを含ませたポリシーデータ」とは、現在付与されているポリシーデータに管理者によるアクセスを許可するようなアクセス権限情報が追加設定されたポリシーデータのことを指す。管理者によるアクセスを許可するようなアクセス権限情報を管理者ポリシーという。この要求を受けたポリシーサーバコンピュータ３２０はＨＤ２１０内を検索する。この検索の結果、「送信指示されたデータに現在付与されているポリシーデータに管理者ポリシーを含ませたポリシーデータ」が見つかった場合（ステップＳ４０７でＹｅｓ）にはこの見つかったポリシーデータを送信指示されたデータのポリシーとして付与する。一方、見つからなかった場合（ステップＳ４０７でＮｏ）にはその旨を示す情報を複合機３３０に送信する。
【００７５】
複合機３３０はポリシーサーバコンピュータ３２０から送信された情報を受け取る。ポリシーデータそのものを送信データに付加する場合はそのポリシーデータをポリシーサーバコンピュータ３２０から受け取ることになる。そうでない場合は、ポリシーサーバコンピュータ３２０内で送信データの文書ＩＤに関連付けるポリシーＩＤを変更するだけでポリシーデータを更新できるの。よってこの場合は複合機３３０が特にポリシーサーバコンピュータから情報を受け取る必要はない（ステップＳ４０９の処理もスキップする）。要求したポリシーデータをポリシーサーバコンピュータ３２０から受信した場合には処理をステップＳ４０８に進める。ステップＳ４０８では、受信したポリシーデータを一旦ＲＡＭ１０４等に格納し、ステップＳ４０９では、送信指示されたデータに元々付加されているポリシーデータの代わりにステップＳ４０８で取得したポリシーデータを、送信指示されたデータに付加する。そして処理をステップＳ４０６に進める。
【００７６】
一方、ポリシーサーバコンピュータ３２０から受けた情報が、「送信指示されたデータに現在付加されているポリシーデータに管理者ポリシーを含ませたポリシーデータが見つからなかった旨を示す情報」である場合には処理をステップＳ４１０に進める。ステップＳ４１０では、ポリシーサーバコンピュータ３２０に対して「送信指示されたデータに現在付加されているポリシーデータに管理者ポリシーを含ませたポリシーデータ」を新規に作成する要求を送信する。ポリシーサーバコンピュータ３２０はこのような要求を受けると、要求されたポリシーデータを作成し、複合機３３０に返信する。複合機３３０は複合機３３０から送信されたポリシーデータを受けると、これを一端ＲＡＭ１０４等に格納する。そしてステップＳ４０９では、送信指示されたデータに元々付加されているポリシーデータの代わりにステップＳ４０８で取得したポリシーデータを、送信指示されたデータに付加する。そして処理をステップＳ４０６に進める。なお、図１１の１１０６のようにポリシーデータそのものを付加することなくポリシーを付与されているデータの場合には、ポリシーサーバコンピュータ３２０で新規に作成したポリシーデータに対応するポリシーＩＤを送信指示されたデータの文書ＩＤに関連付けることによりポリシーデータの更新が行われる。この場合ステップＳ４０８はスキップする。
【００７７】
ステップＳ４０６では、ステップＳ４０９で作成されたポリシーデータ付きの送信データを指示された送信先に送信する。そして、当該送信動作に関わる履歴情報と送信データとをジョブアーカイブサーバ３４０へ送信する。送信動作に関わる履歴情報としては、送信指示を行ったユーザを特定する情報や送信宛先や送信日時、送信時刻、送信結果（正常終了、異常終了）、送信モードといった情報を含む。履歴情報と送信データは関連付けられてジョブアーカイブサーバ３４０内のＨＤＤに保存される。管理者はジョブアーカイブサーバ内の履歴情報や送信データを参照することが可能になる。
【００７８】
以上の説明により、本実施形態によれば、履歴として保管しているデータのポリシーには、追跡調査を行う管理者のアクセスを許可するポリシーが必ず含まれていることになる。よって漏洩したデータの追跡調査を行う管理者が、履歴として保管しているデータの閲覧が常に可能になる。
【００７９】
併せて、データが漏洩したことが判明した際、漏洩したデータより、データのポリシーが特定可能となり、特定されたポリシーを、例えば管理者以外は全てのアクセス権を抹消すると言った変更することにより、情報の漏洩を最小限に留めることが可能となる。
【００８０】
なお、本実施形態で用いたシステムの構成は一例であり、クライアントコンピュータ３１０、ポリシーサーバコンピュータ３２０、複合機３３０の数やネットワーク形態などについては特に限定するものではない。また、ポリシーデータを付加してデータを送信することが可能な装置であれば、複合機３３０の代わりに何れかの装置を用いても良い。
【００８１】
また、図４のフローチャートは複合機３３０がデータをクライアントコンピュータ３１０へネットワーク３００を介して送信する場合について説明したが、複合機３３０による他の動作においても同様である。複合機３３０による他の処理としては、データをファクシミリ送信したり、データに基づき印刷処理を行うなど、様々な画像出力処理が該当する。
【００８２】
［第２の実施形態］
第１の実施形態ではステップＳ４０５で管理者がアクセス可能なポリシーデータが付与されていないと判断した場合にはステップＳ４０７でポリシーサーバコンピュータ３２０に問い合わせるようにしていた。しかしながら、製品の都合上、ポリシーサーバコンピュータ３２０に問い合わせを行う機能を入れ込むのは、諸々の理由により困難な場合も考えられる。
【００８３】
従ってこのような場合には、送信指示されたデータの送信を中止するようにしても良い。即ち、図４のフローチャートにおいて、ステップＳ４０４でポリシーデータをチェックした結果、ポリシーデータに管理者ポリシーが含まれていなかった場合には処理をステップＳ４０５を介してステップＳ４０３に進めるようにする。
【００８４】
図６は、ステップＳ４０４でポリシーデータをチェックした結果、ポリシーデータに管理者ポリシーが含まれていなかった場合に表示部１０６の表示画面上に表示される画面の表示例を示す図である。
【００８５】
［第３の実施形態］
第１の実施形態ではステップＳ４０７でポリシーデータに管理者ポリシーが含まれていない場合にはポリシーサーバコンピュータ３２０にポリシーの新規作成要求を送信していた。しかしながら、製品の都合上、ポリシーサーバコンピュータ３２０にポリシーの新規作成機能を入れ込むのは、諸々の理由により困難な場合も考えられる。
【００８６】
従ってこのような場合には、複合機３３０から要求されたポリシーデータがポリシーサーバコンピュータ３２０内に存在しない場合には、送信指示されたデータの送信を中止するようにしても良い。即ち、図４のフローチャートにおいて、ステップＳ４０７でポリシーサーバコンピュータ３２０から「送信指示されたデータに現在付加されているポリシーデータに管理者ポリシーを含ませたポリシーデータが見つからなかった旨を示す情報」を受けた場合には、処理をステップＳ４０７を介してステップＳ４０３に進めるようにする。
【００８７】
図７は、ステップＳ４０７でポリシーサーバコンピュータ３２０から「送信指示されたデータに現在付加されているポリシーデータに管理者ポリシーを含ませたポリシーデータが見つからなかった旨を示す情報」を受けた場合における表示部１０６の表示画面上に表示される画面の表示例を示す図である。
【００８８】
［第４の実施形態］
第１の実施形態ではポリシーデータに管理者ポリシーが含まれていない場合にはポリシーサーバコンピュータ３２０に検索要求、若しくは新規作成要求を送信していた。本実施形態では、このような場合には、複合機３３０はポリシーサーバコンピュータ３２０に対して、送信指示されたデータに現在付加されているポリシーデータに新たに管理者ポリシーを含ませる要求を行う。これにより、送信指示されたデータに現在付加されているポリシーデータを更新する。
【００８９】
図８は、複合機３３０が保持するデータのうち、注目データをクライアントコンピュータ３１０に送信する指示が複合機３３０に対して入力された場合に、複合機３３０が行う処理のフローチャートである。なお、同図のフローチャートに従った処理をＣＰＵ１０１に実行させるためのプログラムやデータは、ＲＯＭ１０２、若しくはハードディスク１０３に保存されている。このプログラムやデータはＣＰＵ１０１による制御に従って適宜ＲＡＭ１０４にロードされる。そしてＣＰＵ１０１がこのロードされたプログラムやデータを用いて処理を実行することで、複合機３３０は後述する各処理を実行する。ただし、図８のフローチャートでは、複合機３３０のみでなく、ポリシーサーバコンピュータ３２０の処理を伴うステップもある。
【００９０】
図８のステップＳ８０１〜ステップＳ８０６の各処理は、それぞれ図４のステップＳ４０１〜ステップＳ４０６と同じ処理であるので、説明を省略する。
【００９１】
ステップＳ８０４のチェックの結果、ポリシーデータには管理者に対するアクセス権が何も設定されていない場合はステップＳ８０５でＮｏと判定し、処理をステップＳ８０７へ進める。また、送信指示されたデータに対して管理者に対する何らかのアクセス権限が設定されているポリシーデータであるが、その内容が、送信指示されたデータに対して管理者がアクセス不可と設定された権限である場合もステップＳ８０５でＮｏと判定する。そして処理をステップＳ８０７へ進める。
【００９２】
ステップＳ８０７では、送信指示されたデータに現在付加されているポリシーデータをサーバコンピュータ３２０に送信し、このポリシーデータに管理者ポリシーを含ませる要求を行う。ポリシーサーバコンピュータ３２０はこのような要求を受けると、複合機３３０から送信されてきたポリシーデータに管理者ポリシーを含ませることで、このポリシーデータを更新する処理を行う。そして更新したポリシーデータを複合機３３０返信する。複合機３３０はサーバコンピュータ３２０から送信された更新済ポリシーデータを受けると、これを一旦ＲＡＭ１０４等に格納する。そして、ステップＳ４０８で取得したポリシーデータを、送信指示されたデータに付加する。そして処理をステップＳ８０６に進める。
【００９３】
送信指示されたデータが図１１の１１０６のようにポリシーデータそのものを付加することなくポリシーを付与されているデータの場合にはステップＳ８０７は以下のような処理を行う。まず、当該データの文書ＩＤをポリシーサーバコンピュータ３２０へ通知するとともに、管理者のアクセス権限を追加する要求を行う。ポリシーサーバコンピュータ３２０はこのような要求を受けると、図１０のテーブル１０００を参照して受信した文書ＩＤに対応するポリシーＩＤを特定する。そして、ポリシーデータベース９００中の当該ポリシーＩＤに対応したポリシーデータに対して管理者のアクセスを許可するようなアクセス権限を追加登録する。これにより送信データに対して管理者のアクセスを許可するようなポリシーが付与される。そして処理をステップＳ８０６へ進める。
【００９４】
以上、本実施形態によれば、送信データに付与されたポリシーが、管理者がアクセス可能なポリシーでない場合に、現在付与されているポリシーに対して管理者のアクセスを許可するように追加登録する。よって、ポリシーサーバコンピュータに新たなポリシーデータを新規に作成する必要がなく、ポリシーサーバコンピュータが保持するポリシーデータの数をむやみ増やさなくて済む。これによりポリシーサーバコンピュータのディスクスペースの消費を抑え、ポリシーサーバコンピュータのパフォーマンスの低下を防止することができる。
【００９５】
［その他の実施形態］
また、本発明の目的は、以下のようにすることによって達成されることはいうまでもない。即ち、前述した実施形態の機能を実現するソフトウェアのプログラムコードを記録した記録媒体（または記憶媒体）を、システムあるいは装置に供給する。そして、そのシステムあるいは装置のコンピュータ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコードを読み出し実行する。この場合、記録媒体から読み出されたプログラムコード自体が前述した実施形態の機能を実現することになり、そのプログラムコードを記録した記録媒体は本発明を構成することになる。
【００９６】
また、コンピュータが読み出したプログラムコードを実行することにより、そのプログラムコードの指示に基づき、コンピュータ上で稼働しているオペレーティングシステム（ＯＳ）などが実際の処理の一部または全部を行う。その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００９７】
さらに、記録媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張カードやコンピュータに接続された機能拡張ユニットに備わるメモリに書込まれたとする。その後、そのプログラムコードの指示に基づき、その機能拡張カードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【００９８】
本発明を上記記録媒体に適用する場合、その記録媒体には、先に説明したフローチャートに対応するプログラムコードが格納されることになる。
【図面の簡単な説明】
【００９９】
【図１】複合機３３０のハードウェア構成例を示すブロック図である。
【図２】クライアントコンピュータ３１０やポリシーサーバコンピュータ３２０やジョブアーカイブサーバ３４０に適用可能なコンピュータのハードウェア構成を示すブロック図である。
【図３】本発明の第１の実施形態に係るシステムの構成例を示す図である。
【図４】複合機３３０が保持するデータのうち、注目データ（例えば、ユーザが指定したデータ）を、ネットワーク３００を介してクライアントコンピュータ３１０に送信する指示が複合機３３０に対して入力された場合に、複合機３３０が行う処理のフローチャートである。
【図５】ステップＳ４０３において表示部１０６の表示画面上に表示される画面の表示例を示す図である。
【図６】ステップＳ４０４でポリシーデータをチェックした結果、ポリシーデータに管理者ポリシーが含まれていなかった場合に表示部１０６の表示画面上に表示される画面の表示例を示す図である。
【図７】ステップＳ４０７でポリシーサーバコンピュータ３２０から「送信指示されたデータに現在付加されているポリシーデータに管理者ポリシーを含ませたポリシーデータが見つからなかった旨を示す情報」を受けた場合における表示部１０６の表示画面上に表示される画面の表示例を示す図である。
【図８】複合機３３０が保持するデータのうち、注目データをクライアントコンピュータ３１０に送信する指示が複合機３３０に対して入力された場合に、複合機３３０が行う処理のフローチャートである。
【図９】ポリシーサーバコンピュータ３２０が管理する、ポリシーデータベースの一例を示す図である。
【図１０】ポリシーを付与された文書に対して文書ＩＤ１００２とポリシーＩＤ１００４とを関連付けるテーブル１０００の例を示す図である。
【図１１】ポリシーが付与される文書の各状態を示す図である。
【図１】
2007226464.tif 000003
【図２】
2007226464.tif 000004
【図３】
2007226464.tif 000005
【図４】
2007226464.tif 000006
【図５】
2007226464.tif 000007
【図６】
2007226464.tif 000008
【図７】
2007226464.tif 000009
【図８】
2007226464.tif 000010
【図９】
2007226464.tif 000011
【図１０】
2007226464.tif 000012
【図１１】
2007226464.tif 000013