RODO 2018: zabezpieczenie drukarki - wywiad

Infor.pl: Dlaczego prawidłowe zabezpieczenie drukarek jest ważne w kontekście RODO?

Alan Pajek, wiceprezes Ediko: RODO nakłada na przedsiębiorstwa oraz podmioty zarządzające danymi osobowymi bardzo restrykcyjne regulacje mające na celu ochronę poufności tych danych. Jednocześnie, w samym rozporządzeniu bardzo mało mówi się o tym, w jaki sposób to zrobić. Dlatego też firmy stosują w tym celu wiele technik – od szyfrowania baz danych po fizyczne zabezpieczenia. Niestety, wiele przedsiębiorstw zapomina bądź bagatelizuje to, że oprócz komputerów klasy PC, serwerów i smartfonów w firmowej sieci działają jeszcze jedne urządzenia – drukarki. Jest to błąd, ponieważ są one dziś praktycznie komputerami – mają własny procesor, pamięć RAM, dysk twardy i system operacyjny. Jak wiadomo, każdy łańcuch jest tak mocny jak jego najsłabsze ogniwo. Jeżeli podczas przygotowania firmy do RODO pominie się kwestie bezpieczeństwa urządzeń drukujących, będzie to oznaczało pozostawienie „otwartej furtki”, niezabezpieczonych komputerów, przez które dane osobowe mogą wyciec bądź zostać wykradzione. Niweczy to nie tylko wszystkie wydatki przedsiębiorstwa przeznaczone na cyberbezpieczeństwo, ale też naraża firmę na wymienione w rozporządzeniu, czasem nawet wielomilionowe kary.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Jakie są główne przyczyny wycieku firmowych danych związane z użytkowaniem drukarek?

Alan Pajek: W kwestii wycieku danych poprzez firmową drukarkę można wyróżnić dwa scenariusze: włamanie z zewnątrz i błąd ludzki. Atak hakerski najczęściej przeprowadzany jest z wykorzystaniem różnych podatności urządzenia, z których pozwolę sobie przytoczyć kilka:

- niezabezpieczone porty TCP – porty służą do odbierania danych z innych firmowych komputerów, a informacje o tym, które z nich są otwarte można uzyskać drukując stronę testową. Atak z wykorzystaniem takich portów jest tak prosty, że instrukcje, jak go przeprowadzić, są powszechnie dostępne w sieci.

- luki w systemach operacyjnych – przyzwyczailiśmy się, że smartfony i komputery PC otrzymują regularne aktualizacje. Oprogramowanie drukarek również jest regularnie uaktualnianie, jednak tylko niewielki odsetek firm zadaje sobie trud by sprawdzać, czy ich urządzenie działa na najnowszej wersji systemu. Brak regularnych aktualizacji znacznie obniża poziom bezpieczeństwa, ponieważ zdecydowana większość poprawek to właśnie „łatki” dla wykrytych luk w zabezpieczeniu.

- brak uwierzytelniania – jeżeli hakerowi uda się sforsować firmową drukarkę, najczęściej może on bez problemu zainfekować wszystkie komputery w przedsiębiorstwie ze względu na brak uwierzytelnienia danych, które są od drukarki otrzymywane. Najprostszą, choć wciąż często stosowaną przez atakujących, metodą są spreparowane potwierdzenia wydruku, w których zawarty został złośliwy kod – trojan, backdoor lub ransomware. W ten sposób atakujący może uzyskać dostęp do wszystkich danych w firmie, wykraść je bądź też zaszyfrować, żądając wysokiego okupu.

Dane mogą też wyciec poprzez błahe błędy samych pracowników. W swoich zapisach RODO kładzie wyraźny nacisk na to, aby dane osobowe były przetwarzane tylko przez osoby do tego uprawnione. Dlatego też każda sytuacja w której wydruk zostanie odebrany przez osobę inną niż zlecająca (co zdarza się nagminnie szczególnie w dużych firmach gdzie urządzenia drukujące są mocno obciążone) może zostać uznana za wyciek. Ponadto – w takich sytuacjach dochodzi często do gubienia zleconych wydruków, ponieważ ktoś zabrał je przez przypadek wraz z własnymi.

Zobacz: RODO w firmie

W jaki sposób firma może się przed takimi wyciekami ochronić?

Alan Pajek: To, co firmowy dział IT może zrobić, by podnieść bezpieczeństwo informatyczne drukarek, to zwrócić uwagę na wcześniej wymienione kwestie. Należy zamknąć nieużywane lub niepotrzebne porty, zaktualizować firmware urządzeń i rozpocząć monitoring tego jakie dane spływają do drukarek i jaka jest zawartość komunikatów zwrotnych z tych urządzeń. Niestety, drukarki w firmie najczęściej nie tylko pochodzą od różnych producentów, ale też z różnych okresów produkcyjnych i działają pod różnymi systemami. Dlatego, jeżeli firma chce się dobrze zabezpieczyć, może zamówić tzw. audyt środowiska druku. Podczas takiego audytu przedsiębiorstwo otrzyma szczegółowe informacje nt. wykorzystania drukarek, ich współpracy z firmową siecią a także dane odnośnie podatności konkretnych modeli na ataki wraz z rekomendacjami odnośnie tego, jak zniwelować zagrożenie.

Jeżeli chodzi o wycieki spowodowane przez błąd ludzki, to tu z pomocą przychodzi system wydruku podążającego i poufnego. Jest to skuteczny sposób na zapewnienie bezpieczeństwa, dotychczas stosowany m.in. przez agencje rządowe. System ten składa się z dwóch elementów: hardware’u, czyli specjalnych kart dla pracowników i czytników montowanych na drukarkach, oraz software’u – oprogramowania które pozwala przypisać wydruk do osoby zlecającej. Dzięki zastosowaniu systemu wydruku podążającego każdy zlecony dokument zostanie zwolniony do wydruku dopiero po autoryzacji kartą przy urządzeniu. Pozwala to mieć pewność, że w przypadku drukowania dokumentów zawierających dane osobowe, zachowana zostanie ich poufność w stosunku do osób nieposiadających uprawnień do ich przetwarzania. Oprócz zapewnienia bezpieczeństwa, system ten ma też wiele innych zastosowań. Pozwala bowiem nadać cyfrową sygnaturę ważnym dokumentom (np. umowom handlowym) przez co będą mogły je wydrukować tylko konkretne osoby w firmie. Dzięki niemu możliwe jest także śledzenie, którzy pracownicy korzystają z drukarek najczęściej, co pozwala na efektywniejsze rozmieszczenie urządzeń.

Jak odpowiednio przeszkolić pracowników żeby w bezpieczny sposób użytkowali sprzęt?

Alan Pajek: Mówi się, że „najlepszym zabezpieczeniem jest zdrowy rozsądek”, dlatego przeszkolenie pracowników należy zacząć od uświadomienia im, że zagrożenie związane z np. atakiem ransomware jest realne i nie wolno go bagatelizować. Następnie należy im przedstawić, jakimi drogami dane mogą wyciec bądź zostać wykradzione – pozwoli to skuteczniej egzekwować nowe wytyczne odnośnie korzystania z urządzeń i uczuli pracowników na wszystkie podejrzane elementy. Podczas takiego szkolenia warto też poinformować podwładnych o potencjalnym zagrożeniu płynącym z tzw. BYOD – Bring Your Own Device, czyli wykorzystywania do pracy prywatnych urządzeń. Polscy pracownicy, szczególnie młodzi, chętnie używają w pracy własnych laptopów, telefonów czy pendrive’ów. Po wdrożeniu RODO będzie to czynnik znaczącego ryzyka, ponieważ oznacza wprowadzenie do firmowej sieci nieautoryzowanego urządzenia o nieznanym poziomie zabezpieczeń. Ponadto często zdarza się, że firmowa drukarka wykorzystywana jest do celów niezwiązanych z pracą, czyli np. drukowania plików pobranych z sieci (bilety, załączniki e-maili, zdjęcia etc.). W takich sytuacjach zawsze istnieje ryzyko, że pobrany i przekazany do druku plik zawiera w sobie złośliwy kod, który dzięki przesłaniu go do drukarki będzie mógł rozprzestrzenić się na inne komputery w firmie.

Na zabezpieczenie jakich innych sprzętów biurowych należy zwrócić uwagę w kontekście RODO?

Alan Pajek: Dużo uwagi poświęca się ostatnio urządzeniom, które autonomicznie łączą się z globalną siecią i są ze sobą powiązane w formie Internetu Rzeczy (IoT). W zależności od stopnia zaawansowania, w firmie mogą to być urządzenia np. zarządzające temperaturą, oświetleniem czy nawilżeniem powietrza w biurze. Znaczna większość z nich wymienia informacje korzystając z tzw. „chmury”, agregując swoje dane w internetowych serwerach. Część przedsiębiorców nie zdaje sobie sprawy, że takie przedmioty mogą stanowić duże ułatwienie dla osób chcących włamać się do firmowej sieci IT. Przypadków potwierdzających podatność urządzeń IoT jest wiele - nie tak dawno ekspertowi Kaspersky’ego udało się bez większych problemów wejść nawet do systemu zarządzania sygnalizacją świetlną. Dlatego też podczas wyboru takich urządzeń warto zwrócić uwagę, jak mocny nacisk ich producent kładzie na bezpieczeństwo. Internet Rzeczy bowiem nie musi oznaczać tylko i wyłącznie wykorzystania chmury – dużo bezpieczniejszym rozwiązaniem jest przesył danych pomiędzy maszynami przy wykorzystaniu firmowej sieci VAN bądź LAN. W tym przypadku dane są praktycznie stuprocentowo bezpieczne, ponieważ przetwarza się je tylko w ramach zamkniętej i dobrze chronionej infrastruktury informatycznej przedsiębiorstwa.

Kolejną kategorią urządzeń, której z pewnością należy się szczególna uwaga, są smartfony powszechnie wykorzystywane jako telefon służbowy. Urządzenia mobilne stanowią coraz istotniejszą rolę jako platforma wymiany danych i konsumpcji treści. Według najnowszych badań POLSKA.JEST.MOBI z 2018 r. 40 proc. czasu, który Polacy spędzają przy urządzeniu elektronicznym, przeznaczony jest dla smartfonu. Średnia światowa to natomiast już 54 proc. Te statystyki wyjaśniają, dlaczego coraz więcej złośliwego oprogramowania tworzonego jest z myślą właśnie o smartfonach. Jednocześnie, tylko znikomy procent użytkowników korzysta z narzędzi zabezpieczających telefon, jak np. antywirus czy oprogramowanie do permanentnego usuwania danych z urządzenia. Jeżeli przedsiębiorstwo chce się poprawnie zabezpieczyć, ochrona firmowych smartfonów powinna być ważnym elementem polityki bezpieczeństwa IT.

Na co zwrócić uwagę przy wyborze drukarki?

Alan Pajek: Podczas wyboru drukarek należy zwrócić szczególną uwagę na koszty związane z ich użytkowaniem. Część z nich, jak np. te związane z uzupełnianiem materiałów eksploatacyjnych, jest prosta do policzenia. Dużo ważniejsze od nich mogą być jednak koszty ukryte, związane z pracą samego urządzenia. Tutaj przede wszystkim należy wymienić niezawodność – jeżeli drukarka stanowi kluczowe narzędzie pracy (np. w dziale handlowym) jej awaria powoduje przestój, a w konsekwencji – straty dla firmy. Dlatego też podczas zakupu urządzeń u resellera warto zapoznać się z warunkami kontraktu serwisowego, szczególnie pod kątem zapisów mówiących o dostarczeniu urządzeń zastępczych na czas serwisowania sprzętu. W SLA (Service Level Agreement) należy więc szukać podpunktu określającego czas, w jakim do uszkodzonego urządzenia musi przyjechać osoba serwisująca - aby zapewnić ciągłość pracy biura, czas ten powinien być jak najkrótszy. Kolejnym zbędnym kosztem, na który może narazić się przedsiębiorstwo, jest zbyt wysokie zużycie energii elektrycznej przez urządzenie. Jeżeli firmie zależy na niskich rachunkach za prąd, powinna postawić na drukarki atramentowe, które zużywają go zdecydowanie mniej. Należy także pamiętać, że w Polsce prąd produkowany jest głównie z przetwarzania paliw kopalnych, dlatego w ostatecznym rozrachunku to drukarki atramentowe są bardziej ekologiczne. Finalnie, przy wyborze floty urządzeń należy zawczasu pomyśleć o optymalizacji ich pracy – pozwoli to nie tylko drukować oszczędnie, ale też przedłuży żywot samych urządzeń, ponieważ będą pracować pod równomiernym obciążeniem (jedna drukarka nie będzie częściej wykorzystywana niż inne). Danych do takiej optymalizacji dostarcza specjalne oprogramowanie nazywane MPS (Manage Print Services).

Oprócz unikania zbędnych wydatków, podczas wyboru drukarki warto zwrócić uwagę na systemy wbudowane w samo urządzenie. Część producentów wzbogaca bowiem swoje maszyny o dodatkowe możliwości. Jest to bardzo atrakcyjne rozwiązanie szczególnie dla małych i średnich przedsiębiorstw, ponieważ pozwala na uzyskanie pożądanych funkcjonalności bez konieczności inwestowania dodatkowych funduszy. Firmy z sektora MŚP mogą więc kupić drukarkę z wbudowanym systemem wydruku podążającego przeznaczonego dla środowiska druku o określonej wielkości, bądź bardzo uproszczonym oprogramowaniem zarządzającym (MPS). Jedną z ciekawszych dostępnych na rynku funkcji, którą powinni się zainteresować przedsiębiorcy w kontekście RODO, jest automatyczne przywracanie ustawień fabrycznych. Drukarka wyposażona w to oprogramowanie będzie automatycznie wykrywać wszystkie próby ingerencji w jej system bezpieczeństwa. Jeżeli więc atakujący firmę haker będzie chciał dokonać jakiejkolwiek modyfikacji, urządzenie się zablokuje, a następnie przywróci ustawienia z tzw. „złotej kopii” zaimplementowanej przez producenta.

Rozmawiała: Marta Zdanowska