REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO 2018: zabezpieczenie drukarki - wywiad

 Alan Pajek
wiceprezes Ediko - firmy specjalizującej się w dostarczaniu rozwiązań oraz usług pozwalających usprawnić procesy związane z powstawaniem oraz zarządzaniem dokumentami i informacją w firmie
RODO 2018: zabezpieczenie drukarki - wywiad /Fot. Fotolia
RODO 2018: zabezpieczenie drukarki - wywiad /Fot. Fotolia
Fotolia

REKLAMA

REKLAMA

Nie wszyscy zdają sobie sprawę, że przy wdrażaniu RODO w firmie należy zwrócić uwagę na prawidłowe zabezpieczenie sprzętów biurowych - np. drukarek. W przeciwnym wypadku może dojść do niebezpiecznego wycieku danych. Jak to zrobić radzi ekspert Alan Pajek - wiceprezes Ediko Sp. z.o.o.

Infor.pl: Dlaczego prawidłowe zabezpieczenie drukarek jest ważne w kontekście RODO?

REKLAMA

Alan Pajek, wiceprezes Ediko: RODO nakłada na przedsiębiorstwa oraz podmioty zarządzające danymi osobowymi bardzo restrykcyjne regulacje mające na celu ochronę poufności tych danych. Jednocześnie, w samym rozporządzeniu bardzo mało mówi się o tym, w jaki sposób to zrobić. Dlatego też firmy stosują w tym celu wiele technik – od szyfrowania baz danych po fizyczne zabezpieczenia. Niestety, wiele przedsiębiorstw zapomina bądź bagatelizuje to, że oprócz komputerów klasy PC, serwerów i smartfonów w firmowej sieci działają jeszcze jedne urządzenia – drukarki. Jest to błąd, ponieważ są one dziś praktycznie komputerami – mają własny procesor, pamięć RAM, dysk twardy i system operacyjny. Jak wiadomo, każdy łańcuch jest tak mocny jak jego najsłabsze ogniwo. Jeżeli podczas przygotowania firmy do RODO pominie się kwestie bezpieczeństwa urządzeń drukujących, będzie to oznaczało pozostawienie „otwartej furtki”, niezabezpieczonych komputerów, przez które dane osobowe mogą wyciec bądź zostać wykradzione. Niweczy to nie tylko wszystkie wydatki przedsiębiorstwa przeznaczone na cyberbezpieczeństwo, ale też naraża firmę na wymienione w rozporządzeniu, czasem nawet wielomilionowe kary.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Jakie są główne przyczyny wycieku firmowych danych związane z użytkowaniem drukarek?

REKLAMA

Alan Pajek: W kwestii wycieku danych poprzez firmową drukarkę można wyróżnić dwa scenariusze: włamanie z zewnątrz i błąd ludzki. Atak hakerski najczęściej przeprowadzany jest z wykorzystaniem różnych podatności urządzenia, z których pozwolę sobie przytoczyć kilka:

Dalszy ciąg materiału pod wideo

- niezabezpieczone porty TCP – porty służą do odbierania danych z innych firmowych komputerów, a informacje o tym, które z nich są otwarte można uzyskać drukując stronę testową. Atak z wykorzystaniem takich portów jest tak prosty, że instrukcje, jak go przeprowadzić, są powszechnie dostępne w sieci.

REKLAMA

- luki w systemach operacyjnych – przyzwyczailiśmy się, że smartfony i komputery PC otrzymują regularne aktualizacje. Oprogramowanie drukarek również jest regularnie uaktualnianie, jednak tylko niewielki odsetek firm zadaje sobie trud by sprawdzać, czy ich urządzenie działa na najnowszej wersji systemu. Brak regularnych aktualizacji znacznie obniża poziom bezpieczeństwa, ponieważ zdecydowana większość poprawek to właśnie „łatki” dla wykrytych luk w zabezpieczeniu.

- brak uwierzytelniania – jeżeli hakerowi uda się sforsować firmową drukarkę, najczęściej może on bez problemu zainfekować wszystkie komputery w przedsiębiorstwie ze względu na brak uwierzytelnienia danych, które są od drukarki otrzymywane. Najprostszą, choć wciąż często stosowaną przez atakujących, metodą są spreparowane potwierdzenia wydruku, w których zawarty został złośliwy kod – trojan, backdoor lub ransomware. W ten sposób atakujący może uzyskać dostęp do wszystkich danych w firmie, wykraść je bądź też zaszyfrować, żądając wysokiego okupu.

Dane mogą też wyciec poprzez błahe błędy samych pracowników. W swoich zapisach RODO kładzie wyraźny nacisk na to, aby dane osobowe były przetwarzane tylko przez osoby do tego uprawnione. Dlatego też każda sytuacja w której wydruk zostanie odebrany przez osobę inną niż zlecająca (co zdarza się nagminnie szczególnie w dużych firmach gdzie urządzenia drukujące są mocno obciążone) może zostać uznana za wyciek. Ponadto – w takich sytuacjach dochodzi często do gubienia zleconych wydruków, ponieważ ktoś zabrał je przez przypadek wraz z własnymi.

Zobacz: RODO w firmie

W jaki sposób firma może się przed takimi wyciekami ochronić?

Alan Pajek: To, co firmowy dział IT może zrobić, by podnieść bezpieczeństwo informatyczne drukarek, to zwrócić uwagę na wcześniej wymienione kwestie. Należy zamknąć nieużywane lub niepotrzebne porty, zaktualizować firmware urządzeń i rozpocząć monitoring tego jakie dane spływają do drukarek i jaka jest zawartość komunikatów zwrotnych z tych urządzeń. Niestety, drukarki w firmie najczęściej nie tylko pochodzą od różnych producentów, ale też z różnych okresów produkcyjnych i działają pod różnymi systemami. Dlatego, jeżeli firma chce się dobrze zabezpieczyć, może zamówić tzw. audyt środowiska druku. Podczas takiego audytu przedsiębiorstwo otrzyma szczegółowe informacje nt. wykorzystania drukarek, ich współpracy z firmową siecią a także dane odnośnie podatności konkretnych modeli na ataki wraz z rekomendacjami odnośnie tego, jak zniwelować zagrożenie.

Jeżeli chodzi o wycieki spowodowane przez błąd ludzki, to tu z pomocą przychodzi system wydruku podążającego i poufnego. Jest to skuteczny sposób na zapewnienie bezpieczeństwa, dotychczas stosowany m.in. przez agencje rządowe. System ten składa się z dwóch elementów: hardware’u, czyli specjalnych kart dla pracowników i czytników montowanych na drukarkach, oraz software’u – oprogramowania które pozwala przypisać wydruk do osoby zlecającej. Dzięki zastosowaniu systemu wydruku podążającego każdy zlecony dokument zostanie zwolniony do wydruku dopiero po autoryzacji kartą przy urządzeniu. Pozwala to mieć pewność, że w przypadku drukowania dokumentów zawierających dane osobowe, zachowana zostanie ich poufność w stosunku do osób nieposiadających uprawnień do ich przetwarzania. Oprócz zapewnienia bezpieczeństwa, system ten ma też wiele innych zastosowań. Pozwala bowiem nadać cyfrową sygnaturę ważnym dokumentom (np. umowom handlowym) przez co będą mogły je wydrukować tylko konkretne osoby w firmie. Dzięki niemu możliwe jest także śledzenie, którzy pracownicy korzystają z drukarek najczęściej, co pozwala na efektywniejsze rozmieszczenie urządzeń.

Jak odpowiednio przeszkolić pracowników żeby w bezpieczny sposób użytkowali sprzęt?

Alan Pajek: Mówi się, że „najlepszym zabezpieczeniem jest zdrowy rozsądek”, dlatego przeszkolenie pracowników należy zacząć od uświadomienia im, że zagrożenie związane z np. atakiem ransomware jest realne i nie wolno go bagatelizować. Następnie należy im przedstawić, jakimi drogami dane mogą wyciec bądź zostać wykradzione – pozwoli to skuteczniej egzekwować nowe wytyczne odnośnie korzystania z urządzeń i uczuli pracowników na wszystkie podejrzane elementy. Podczas takiego szkolenia warto też poinformować podwładnych o potencjalnym zagrożeniu płynącym z tzw. BYOD – Bring Your Own Device, czyli wykorzystywania do pracy prywatnych urządzeń. Polscy pracownicy, szczególnie młodzi, chętnie używają w pracy własnych laptopów, telefonów czy pendrive’ów. Po wdrożeniu RODO będzie to czynnik znaczącego ryzyka, ponieważ oznacza wprowadzenie do firmowej sieci nieautoryzowanego urządzenia o nieznanym poziomie zabezpieczeń. Ponadto często zdarza się, że firmowa drukarka wykorzystywana jest do celów niezwiązanych z pracą, czyli np. drukowania plików pobranych z sieci (bilety, załączniki e-maili, zdjęcia etc.). W takich sytuacjach zawsze istnieje ryzyko, że pobrany i przekazany do druku plik zawiera w sobie złośliwy kod, który dzięki przesłaniu go do drukarki będzie mógł rozprzestrzenić się na inne komputery w firmie.

Na zabezpieczenie jakich innych sprzętów biurowych należy zwrócić uwagę w kontekście RODO?

Alan Pajek: Dużo uwagi poświęca się ostatnio urządzeniom, które autonomicznie łączą się z globalną siecią i są ze sobą powiązane w formie Internetu Rzeczy (IoT). W zależności od stopnia zaawansowania, w firmie mogą to być urządzenia np. zarządzające temperaturą, oświetleniem czy nawilżeniem powietrza w biurze. Znaczna większość z nich wymienia informacje korzystając z tzw. „chmury”, agregując swoje dane w internetowych serwerach. Część przedsiębiorców nie zdaje sobie sprawy, że takie przedmioty mogą stanowić duże ułatwienie dla osób chcących włamać się do firmowej sieci IT. Przypadków potwierdzających podatność urządzeń IoT jest wiele - nie tak dawno ekspertowi Kaspersky’ego udało się bez większych problemów wejść nawet do systemu zarządzania sygnalizacją świetlną. Dlatego też podczas wyboru takich urządzeń warto zwrócić uwagę, jak mocny nacisk ich producent kładzie na bezpieczeństwo. Internet Rzeczy bowiem nie musi oznaczać tylko i wyłącznie wykorzystania chmury – dużo bezpieczniejszym rozwiązaniem jest przesył danych pomiędzy maszynami przy wykorzystaniu firmowej sieci VAN bądź LAN. W tym przypadku dane są praktycznie stuprocentowo bezpieczne, ponieważ przetwarza się je tylko w ramach zamkniętej i dobrze chronionej infrastruktury informatycznej przedsiębiorstwa.

Kolejną kategorią urządzeń, której z pewnością należy się szczególna uwaga, są smartfony powszechnie wykorzystywane jako telefon służbowy. Urządzenia mobilne stanowią coraz istotniejszą rolę jako platforma wymiany danych i konsumpcji treści. Według najnowszych badań POLSKA.JEST.MOBI z 2018 r. 40 proc. czasu, który Polacy spędzają przy urządzeniu elektronicznym, przeznaczony jest dla smartfonu. Średnia światowa to natomiast już 54 proc. Te statystyki wyjaśniają, dlaczego coraz więcej złośliwego oprogramowania tworzonego jest z myślą właśnie o smartfonach. Jednocześnie, tylko znikomy procent użytkowników korzysta z narzędzi zabezpieczających telefon, jak np. antywirus czy oprogramowanie do permanentnego usuwania danych z urządzenia. Jeżeli przedsiębiorstwo chce się poprawnie zabezpieczyć, ochrona firmowych smartfonów powinna być ważnym elementem polityki bezpieczeństwa IT.

Na co zwrócić uwagę przy wyborze drukarki?

Alan Pajek: Podczas wyboru drukarek należy zwrócić szczególną uwagę na koszty związane z ich użytkowaniem. Część z nich, jak np. te związane z uzupełnianiem materiałów eksploatacyjnych, jest prosta do policzenia. Dużo ważniejsze od nich mogą być jednak koszty ukryte, związane z pracą samego urządzenia. Tutaj przede wszystkim należy wymienić niezawodność – jeżeli drukarka stanowi kluczowe narzędzie pracy (np. w dziale handlowym) jej awaria powoduje przestój, a w konsekwencji – straty dla firmy. Dlatego też podczas zakupu urządzeń u resellera warto zapoznać się z warunkami kontraktu serwisowego, szczególnie pod kątem zapisów mówiących o dostarczeniu urządzeń zastępczych na czas serwisowania sprzętu. W SLA (Service Level Agreement) należy więc szukać podpunktu określającego czas, w jakim do uszkodzonego urządzenia musi przyjechać osoba serwisująca - aby zapewnić ciągłość pracy biura, czas ten powinien być jak najkrótszy. Kolejnym zbędnym kosztem, na który może narazić się przedsiębiorstwo, jest zbyt wysokie zużycie energii elektrycznej przez urządzenie. Jeżeli firmie zależy na niskich rachunkach za prąd, powinna postawić na drukarki atramentowe, które zużywają go zdecydowanie mniej. Należy także pamiętać, że w Polsce prąd produkowany jest głównie z przetwarzania paliw kopalnych, dlatego w ostatecznym rozrachunku to drukarki atramentowe są bardziej ekologiczne. Finalnie, przy wyborze floty urządzeń należy zawczasu pomyśleć o optymalizacji ich pracy – pozwoli to nie tylko drukować oszczędnie, ale też przedłuży żywot samych urządzeń, ponieważ będą pracować pod równomiernym obciążeniem (jedna drukarka nie będzie częściej wykorzystywana niż inne). Danych do takiej optymalizacji dostarcza specjalne oprogramowanie nazywane MPS (Manage Print Services).

Oprócz unikania zbędnych wydatków, podczas wyboru drukarki warto zwrócić uwagę na systemy wbudowane w samo urządzenie. Część producentów wzbogaca bowiem swoje maszyny o dodatkowe możliwości. Jest to bardzo atrakcyjne rozwiązanie szczególnie dla małych i średnich przedsiębiorstw, ponieważ pozwala na uzyskanie pożądanych funkcjonalności bez konieczności inwestowania dodatkowych funduszy. Firmy z sektora MŚP mogą więc kupić drukarkę z wbudowanym systemem wydruku podążającego przeznaczonego dla środowiska druku o określonej wielkości, bądź bardzo uproszczonym oprogramowaniem zarządzającym (MPS). Jedną z ciekawszych dostępnych na rynku funkcji, którą powinni się zainteresować przedsiębiorcy w kontekście RODO, jest automatyczne przywracanie ustawień fabrycznych. Drukarka wyposażona w to oprogramowanie będzie automatycznie wykrywać wszystkie próby ingerencji w jej system bezpieczeństwa. Jeżeli więc atakujący firmę haker będzie chciał dokonać jakiejkolwiek modyfikacji, urządzenie się zablokuje, a następnie przywróci ustawienia z tzw. „złotej kopii” zaimplementowanej przez producenta.

Rozmawiała: Marta Zdanowska

Autopromocja

REKLAMA

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Moja firma
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Handel w dwie niedziele w każdym miesiącu - jest wniosek o odrzucenia projektu nowelizacji

Polska Izba Handlu wnioskuje o odrzucenie w całości poselskiego projektu przywracającego handel w 2 niedziele w miesiącu - wynika z opinii PIH złożonego w trakcie procesu legislacyjnego.

Dzień Matki. Jak wygląda rynek pracy kobiet?

W ciągu ostatnich kilku lat sytuacja kobiet na rynku pracy mocno ewoluowała. Pomimo podejmowania przez firmy działań na rzecz równouprawnienia płci panie bywają niejednokrotnie w nieco gorszej sytuacji zawodowej niż panowie. Jak wygląda rynek pracy kobiet? Czy pracodawcy oferują dodatkowe benefity dla rodziców? Co jest dla nich ważne u pracodawcy?

Pablo Escobar jako znak towarowy? Sąd odmawia

Sąd UE odmówił rejestracji oznaczenia słownego „Pablo Escobar” pod unijnym znakiem towarowym. Sąd uznał je za sprzeczne z porządkiem publicznym i dobrymi obyczajami. Za bardzo kojarzy się z handlem narkotykami i zbrodnią.

Ogromne grzywny za niewdrożenie dyrektywy NIS2. Do kiedy trzeba to zrobić?

Dyrektywa Unii Europejskiej w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii (NIS2) ma duże znaczenie dla poprawy cyberbezpieczeństwa UE. Jej wejście w życie nastąpiło w styczniu 2023 r. - z terminem na dostosowanie niezbędnych do wykonania niniejszej dyrektywy przepisów krajowych do 18 października 2024 r. Kto powinien przygotować się do działania w zgodzie z NIS2-  analizuje Michał Borowiecki, dyrektor Netskope na Polskę i Europę Wschodnią.

REKLAMA

Nowa usługa dla indywidualnych przedsiębiorców w aplikacji mObywatel 2.0

W aplikacji mObywatel 2.0 pojawiła się usługa "Firma" skierowana do osób prowadzących jednoosobową działalność gospodarczą. Jak z niej skorzystać?

Onboarding w hybrydowym modelu pracy

Czym jest onboarding? Jak wygląda w pracy hybrydowej? 

Efekt Marywilskiej i fali pożarów: przedsiębiorcy pytają o ubezpieczenia i podatki pod względem strat

Tragedia tysięcy kupców, którzy prowadzili swoje biznesy często poniżej poziomu ryzyka skłania wielu przedsiębiorców do refleksji nad warunkami w jakich oni sami prowadzą swoją działalność. Efekt Marywilskiej i fali pożarów w ogóle: dwie ważne kwestie, w których doradzają eksperci to rozliczanie strat i inne aspekty podatkowe nieszczęścia oraz skuteczność polis jako zabezpieczenia przed skutkami nieszczęść.

Jak zbudować dobre „candidate experience”

Czym jest candidate experience? Na co wpływa? Jak zmierzyć candidate experience i jak zbudować dobre?

REKLAMA

31 maja 2024 r. upływa ważny termin dla rolników-przedsiębiorców

Do 31 maja 2024 r. należy złożyć zaświadczenie/oświadczenie o nieprzekroczeniu rocznej kwoty granicznej należnego podatku dochodowego za 2023 rok od przychodów z pozarolniczej działalności gospodarczej.

Twórcy i wykonawcy utworów audiowizualnych dostaną tantiemy za udostępnianie ich dzieł w Internecie. Czy coś się zmieni dla osób korzystających z internetu?

Rada Ministrów 14 maja 2024 r. przyjęła projekt nowelizacji ustawy o prawie autorskim i prawach pokrewnych. Na mocy tych przepisów twórcy i wykonawcy utworów audiowizualnych oraz wykonawcy utworów muzycznych (i słowno-muzycznych) będą mieli prawo do tantiem z tytułu eksploatacji ich dzieł w internecie.

REKLAMA