2次記憶装置に対してパスワード認証を行い、その結果に応じてアクセス制御を行う、認証アクセス制御手段と、2次記憶装置に対して、書き込むデータは暗号化を施し、読み込むデータは復号を施す、暗号化手段と、前記認証アクセス制御手段と、前記暗号化手段のいずれかが有効となっていないことを検知して、管理者に通知を行うセキュリティ通知手段と、を有することを特徴とする画像形成装置。第1の手段におけるパスワードによる認証を解除するのは、第2の手段に切り替えるための一時的な方策として必要であり、本来は第2の手段にすぐに切り替えなくてはならない。しかし、認証を解除したまま複合機の動作を継続すると、認証も行われず、暗号化も行われないという状態になり、しかもその状態であることが容易には判断できないため、セキュリティ的に脆弱な状態で運用できてしまうという問題があった。上記課題を解決するために、本発明の画像形成装置は、2次記憶装置に対してパスワード認証を行い、その結果に応じてアクセス制御を行う、認証アクセス制御手段と、2次記憶装置に対して、書き込むデータは暗号化を施し、読み込むデータは復号を施す、暗号化手段と、前記認証アクセス制御手段と、前記暗号化手段のいずれかが有効となっていないことを検知して、管理者に通知を行うセキュリティ通知手段とを有することを特徴とする。上記で述べたセキュリティ通知手段によって、認証アクセス制御手段および暗号化手段の何れかが動作していることを確認できることによって、セキュリティ上脆弱な運用になることを防ぐことが可能となる。以下、本発明を実施するための最良の形態について図面を用いて説明する。[第1実施例]図3は本実施例における複合機のシステムを説明するためのブロック図である。図3において、301は複合機の動作を制御する複合機コントローラを示しており、302は2次記憶装置、303はセキュリティチップを示している。さらに複合機コントローラ301内にあって、311は2次記憶装置302あるいはセキュリティチップ303と接続するためにSerialATA等の既知の規格に従ったインターフェイス部を示す。312は2次記憶装置302と複合機コントローラ301が直接接続された時に認証を行う第1の認証部を示す。313は2次記憶装置302と複合機コントローラ301がセキュリティチップ303を介して接続された時に認証を行う第2の認証部を示す。314は第1の認証を行っている状態において、認証を解除する認証解除部を示している。317はGUIを用いて複合機に対する設定や操作を行う操作部を示している。318は複合機の設定を永続的に記憶しておく不揮発メモリ、319は第1の認証も第2の認証も行われてないことを検知して管理者に通知を行うセキュリティ通知部319を示している。320は複合機コントローラ301を制御し、画像処理や印刷を指示するCPU、315はCPU320の動作を行うプログラムコードや画像データを一時的に蓄えておくRAMを示す。316は電子写真技術やインクジェット技術などの既知の印刷技術を用いて、用紙媒体に印刷を行うプリントエンジンを示す。321は光学読み取り技術を用いて、用紙媒体に書かれた画像データをデジタル情報に変換するスキャンエンジン、322は起動時に最初に読み込まれるプログラムコードが書き込まれたフラッシュメモリを示している。さらに2次記憶装置302内にあって、331は第1の認証を用いる場合に、接続の複合機コントローラ301が正規な機器であるかどうかを検証する認証部を示している。さらにセキュリティチップ303内にあって、341は2次記憶装置302側にあるインターフェイス1を示し、342は複合機コントローラ301側にあるインターフェイス2を示し、343は通過するデータを暗号化、復号する暗号化復号部を示す。344は暗号化復号部343が使用する共通鍵を保管する鍵管理部、345は起動時に第2の認証を行い、認証成功したときにだけデータの送受信を許可する認証部を示す。図3において、実際に接続する系は2種類あり、複合機コントローラ301と2次記憶装置302を直に接続する第1の認証の系図3の実線が該当と、複合機コントローラ301と2次記憶装置302とをセキュリティチップ303を介して接続する第2の認証の系図3の破線が該当が存在する。以下に第1の認証の系を説明する。第1の認証では、2次記憶装置301が、複合機コントローラ301が正規な機器であるかどうかだけを認証する。第1の認証部312は2次記憶装置302にアクセスするときに第1の認証コードを用いて認証を行う。第1の認証コードはユーザが入力したものや、複合機コントローラ301が保持する固有コードを用いて第1の認証コードを生成し、不揮発メモリ318に登録しておく。さらに第1の認証部312は、登録のために第1の認証コードを認証部331に送信し、認証部331は第1の認証コードを登録しておく。通常の起動時には、フラッシュメモリ322に記載されたプログラムコードに従ってCPU320が動作し、最初に第1の認証部312に認証指示を行う。第1の認証部312は不揮発メモリ318から第1の認証コードを取り出し、認証部331に送って認証を依頼する。2次記憶装置302が保持する認証部331は予め登録された第1の認証コードと一致するかどうかを検査し、認証に成功したら2次記憶装置302へのアクセスを許可する。仮に複写機コントローラ301以外の機器に接続された場合、不揮発メモリ318に格納された第1の認証コードが取り出せないため。認証に成功することはなく、2次記憶装置302へのアクセスは禁止される。次に第2の認証の系を説明する。第2の認証では、セキュリティチップ303が、複合機コントローラ301が正規な機器であるかどうかだけを認証する。そして認証に成功したら複合機コントローラ301からの書き込み要求に関しては暗号化復号部343によって暗号化された後に2次記憶装置302に書き込まれる。逆に2次記憶装置からの読み込みは、暗号化されたデータが暗号化復号部343によって復号されたデータが返される。これはもともと書き込まれたデータと一致するため、複合機コントローラ301は暗号化が発生したことを一切意識しなくてもよい。第2の認証部はセキュリティチップ303にアクセスするときに第2の認証コードを用いて認証を行う。第2の認証コードはユーザが入力したものや、複合機コントローラ301が保持する固有コードを用いて第2の認証コードを生成し、不揮発メモリ318に登録しておく。さらに第2の認証部313は、登録のために第2の認証コードを認証部345に送信し、認証部345は第2の認証コードを登録しておく。通常の起動時には、フラッシュメモリ322に記載されたプログラムコードに従ってCPU320が動作し、最初に第2の認証部313に認証指示を行う。第2の認証部313は不揮発メモリ318から第2の認証コードを取り出し、認証部345に送って認証を依頼する。セキュリティチップ303が保持する認証部345は予め登録された認証コードと一致するかどうかを検査し、認証に成功したらセキュリティチップ303へのアクセスを許可する。仮に複写機コントローラ301以外の機器に接続された場合、不揮発メモリ318に格納された第2の認証コードが取り出せないため、認証に成功することはなく、セキュリティチップ303へのアクセスは禁止される。さらに、2次記憶装置302だけ取り出して解析する場合、第2の認証では認証部331が動作しないため、2次記憶装置302の格納されたデータは自由に取得できるが、その中身は暗号文だけになるため、書き込まれたデータの不正な暴露は不可能となる。次に第1の認証から第2の認証の切り替えについて説明する。工場出荷では第1の認証が適用された状態で出荷される。セキュリティチップ303は追加オプションであり、複合機コントローラ301に接続するためには、一時的に第1の認証を解除する必要がある。認証解除部314は操作部317から受けた指示により、第1の認証を解除する。認証解除はセキュリティ上重要な操作であるため、誰でも操作可能というわけではなく、複合機に対して管理者権限を持つユーザあるいはサービスマンであることを認証してから実施可能である。認証解除部314は2次記憶装置302内の認証部331と通信を行い、第1の認証を停止させる。停止後に、ユーザは複合機の電源を一度遮断し、2次記憶装置302と複合機コントローラ301の間にセキュリティチップ303を挿入する。次回起動時に、セキュリティチップ303は認証部345に初回起動であることを第2の認証部313に通知を行う。第2の認証部313はユーザが入力した、あるいは複合機の固有コードから生成する第2の認証コード認証コードを生成し、不揮発メモリ318に登録する。また、認証部345に登録する。ここで2次記憶装置は暗号化されるようになっており、それまでのデータは意味のないものになってしまうため、サービスマンはファームウェアやシステムファイルを再度インストールする必要がある。図4はセキュリティ通知部319の動作を説明するフローチャートである。セキュリティ通知部は、複合機コントローラ301の起動と共に動作し、複合機コントローラ301がセキュリティ上正しい運用を行っているかどうかを検査し、通知を行う。図4において、S401において、不揮発メモリ318を調査し、第1の認証あるいは第2の認証が動作しているかの調査を行う。第1の認証を行っている場合には、第1の認証部312が使用する認証コードが不揮発メモリ318の所定の位置に書き込まれているため、判断可能である。あるいは第2の認証を行っている場合には、第2の認証部313が使用する認証コードが不揮発メモリ318の所定の位置に書き込まれているため、判断可能である。S402において、第1の認証が動作していると判定された場合には、なにもせずに当該処理を完了する。第1の認証が動作していないと判断された時にはS403において第2の認証が動作しているかどうかを判定する。どちらも動作していないと判断された場合にはS404において管理者に警告を通知する。動作すると判定された場合には当該処理を完了する。この処理によって、第1の認証あるいは第2の認証のいずれも動作していないと検知された場合に、管理者に通知を行う。通知の方法としては、予め登録しておいたメールアドレスに警告のメールを送付するか、あるいは管理者がログインした時に警告を表示するようにしてもよい。図5は第1の認証あるいは第2の認証のいずれも動作していないと検知された場合に、管理者がログインした時に表示するUI画面の模式図である。複合機を設置した状態でログインを行うと、管理者は不正な運用であることを本画面によって通知可能である。[第2実施例]実施例1の場合は第1の認証あるいは第2の認証のいずれも動作していないと検知された場合に、管理者にUI画面によって通知することが可能であった。しかし通知だけ行うだけで、運用が変更されるわけではない。そこで、検知時に強制的に第1の認証を有効にしてもよい。図6は実施例1における図4に相当する、セキュリティ通知部319の動作を説明するフローチャートである。図6の図4との差分は、S604およびS605の部分であり、第1の認証も第2の認証も動作していないと判断された場合にはS604において管理者に警告を通知、S605において、強制的に第1の認証を有効にする。図7はS604で表示される警告を示すUI画面の模式図である。強制的に第1の認証を有効にすることによって、第1の認証および第2の認証が実施されずに起動することを防ぐことが可能となり、より強固なセキュリティを維持可能である。