Каждый день офисные сотрудники отправляют на печать множество документов с конфиденциальной информацией. Но далеко не всегда руководители компаний отдают себе отчет в том, что принтеры и многофункциональные устройства (МФУ) могут стать источником утечки ценных сведений. Если не позаботиться о безопасности печатных процессов, возникает риск, что данные компании, сотрудников и клиентов попадут не в те руки.
Основные факторы риска
Исследование Quocirca Global Print Security, вышедшее в феврале 2019 года, показало, что 73% компаний обеспокоены проблемами безопасности, которые связаны с документооборотом. При этом только 24% уверены, что их инфраструктура защищена в достаточной степени. Чаще всего у течки, связанные с печатной техникой, возникают из-за человеческого фактора, а не из-за подключения злоумышленников к корпоративной сети извне. Это не значит, что сотрудники запускают вредоносные коды в свободное от работы время. Речь идет скорее о незнании или игнорировании правил безопасного обмена данными.
Обычно в офисах используются "коридорные" принтеры и МФУ, которыми пользуются целые отделы или даже департаменты. Тем не менее, сотрудники часто отправляют на печать важные документы и забирают их не сразу, а только при удобном случае. В результате конфиденциальная информация может долго лежать на виду у коллег и посетителей офиса. Кто-то может из любопытства заглянуть в такой документ, а кто-то - даже взять его себе, случайно или умышленно. Впрочем, не стоит забывать и об уязвимостях, из-за которых принтеры и МФУ могут стать слабым звеном в корпоративной системе безопасности с точки зрения хакеров. Например, в феврале 2017 года хакер взломал 150 000 принтеров и заставил их напечатать сообщения, предупреждающие о найденной уязвимости. А в ноябре 2018 года другой хакер обошел защит у 50 000 принтеров и распечатал на них свои листовки. Чтобы не допускать подобных инцидентов, производители печатной техники постоянно совершенствуют средства защиты данных, но компании-заказчики далеко не всегда используют весь потенциал этих инструментов. Утечки могут возникнуть не только во время эксплуатации, но и после списания печатной техники. Если принтер не оснащен технологиями шифрования, злоумышленник может извлечь из его жесткого диска документы, которые печатались на устройстве последними.
Технологии безопасной печати
Критическую важность технологий безопасной корпоративной печати признали 30% участников международного исследования Quocirca Print 2025. При этом 84% опрошенных ожидают, что защита данных будет одним из главных направлений инвестирования в ближайшие годы.
Чтобы выстроить эффективную систему безопасности, важно убедиться, что печатная техника оснащена интегрированными средствами защиты от внутренних и внешних угроз в режиме реального времени. Эти решения должны обеспечивать безопасность как системных компонентов, так и информации, поступающей на печать. Например, в принтерах и МФУ на платформе Xerox ConnectKey используются безопасные протоколы передачи данных, 256-битное шифрование жесткого диска AES (Advanced Encryption Standard) с автоматической перезаписью, а также защита и шифрование внешних подключений электронной почты. При этом особо важные документы могут маркироваться микротекстом, водяными знаками и QR-кодами.
Также важно, чтобы устройства обладали функцией защищенной печати, которая позволяет распечатывать файлы только после ввода PIN-кода на принтере, а потом удалять их по расписанию. Благодаря этому невостребованные документы не останутся лежать в лотке на виду у всех, а на жестком диске не останется конфиденциальной информации. Кроме того, утечку предотвращает возможность устанавливать пароль для отсканированных документов, сохраняемых в формате PDF.
Многие печатные устройства поставляются в комплекте с профессиональными системами безопасности, которые раньше было невозможно встретить в обычных офисах. Одно из таких решений - McAfee Embedded Control. Оно поддерживает целостность встроенного ПО, осуществляя мониторинг системных файлов и отправляя администратору уведомления о попытках их неавторизованного изменения.
McAfee Integrity Control обладает теми же функциями, добавляя к ним мониторинг и предотвращение запуска неавторизованных программ. Безопасные файлы можно предварительно добавить в "белый список" McAfee, и тогда система будет гарантированно их пропускать. Такой подход проактивно защищает печатную инфраструктуру от новых угроз. Cisco TrustSec отвечает за комплексную защиту сетей и доступа к важным ресурсам. Это решение позволяет контролировать активность пользователей, автоматически распознавая и классифицируя все устройства с поддержкой IP, которые подключаются к корпоративной сети. Благодаря этим возможностям даже компании со строгими политиками безопасности могу т использовать все современные функции печатной техники, не опасаясь, что это приведет к утечкам.
Разумеется, этим возможности контроля печати не ограничиваются. Они могут реализовываться с помощью разнообразных сторонних решений или по умолчанию входить в число функций устройства. Причем в последнем случае речь должна идти о достаточно мощном ПО корпоративного класса. Например, оно позволяет контролировать печатную технику через панель дистанционного управления, получать отчеты о состоянии аппаратов в режиме реального времени, ограничивать доступ к функциям устройств и устанавливать авторизацию сотрудников по PIN-коду или пластиковой карте.
В качестве примера отдельно внедряемого решения можно упомянуть систему контроля печати YSoft SafeQ, которая отслеживает каждое обращение к принтерам и МФУ и формирует отчеты со статистикой, отсортированной по пользователям, подразделениям, проектам и другим параметрам. Это позволяет не только повысить уровень безопасности, но и решить многие другие задачи. Например, сократить издержки, устранив проблему несанкционированной печати личных файлов, и более эффективно распределять потоки документов среди устройств.
Как защитить конфиденциальные документы
Чтобы предотвратить несанкционированный доступ к корпоративной сети и утечку конфиденциальной информации, многие компании используют административные методы. Например, устанавливают мониторинг и фильтрацию трафика, отключают поддержку внешних накопителей и внедряют жесткую политику защиты данных и инфраструктуры.
Это действенные методы, но намного важнее сформировать у сотрудников культуру безопасной работы с корпоративной информацией. Персонал необходимо обучать и мотивировать, чтобы он использовал правильные подходы к предотвращению утечек не только в тех ситуациях, когда действуют административные методы. Каждый сотрудник должен понимать, какой вклад он вносит в общее дело, и видеть потенциальные риски, которые угрожают бизнесу компании. Чтобы закрепить у персонала навыки противодействия угрозам безопасности, можно периодически проводить скрытое тестирование, создавая видимость киберугрозы и оценивая реакцию сотрудников. Ведь если долгое время не будет инцидентов, сотрудники могут потерять бдительность и все чаще игнорировать правила безопасной работы с документами.
Например, если вы используете МФУ с функциями персонализации интерфейса, можно добавить на экран "подозрительную" кнопку сохранения результатов сканирования. Если сотрудник на нее нажмет, файл отправится в папку службы безопасности. Так вы получите представление о том, как персонал поведет себя в случае реальной угрозы, и будете знать, в каких сферах требуется дополнительная просветительская работа или новые инструменты защиты данных.
Воспитание ответственного отношения к корпоративной информации обязательно принесет свои плоды, но это еще не повод отказываться от технических средств контроля и ограничения доступа к печати, копированию и сканированию документов. Как бы вы ни доверяли своим сотрудникам, не стоит разрешать им делать все.
Права пользователей и потоки информации стоит настроить в соответствии с общей политикой безопасности и уровнем конфиденциальности разных видов документов. При этом современные технические решения позволяют администратору назначить, что может делать авторизованный, а что - неавторизованный пользователь. И даже установить разные права для разных групп сотрудников. Если дополнить это автоматизацией рабочих процессов, вы сможете контролировать и маршруты движения данных, и доступ к ним пользователей.
Чтобы защитить конфиденциальные документы не только изнутри, но и извне еще на этапе покупки, проверьте, соответствует ли печатная техника международным стандартам Common Criteria Certiеcation (CCC). Эту сертификацию присуждают независимые официально аккредитованные лаборатории. Она подтверждает, что файлы, отправляемые на принтер или МФУ, защищены от несанкционированного раскрытия и изменения. Убедитесь, что в печатных устройствах установлены и активированы встроенные инструменты безопасности. В первую очередь стоит обратить внимание на функции автоматического шифрования файлов, перезаписи данных на жестком диске принтера и МФУ после печати, создание "белых списков" и авторизации пользователей.
Чтобы не стать жертвой хакерских атак, важно регулярно обновлять ПО не только на компьютерах, но также на принтерах, сканерах и МФУ. Обновления добавляют новые функции и устраняют уязвимости, делая печатную технику более защищенной. Если времени и ресурсов собственного ИТ-департамента не хватает для того, чтобы установить комплексную политику безопасности и отслеживать ее выполнение, можно передать эти задачи на аутсорсинг проверенному подрядчику. В частности, в услуги по управлению печатной инфраструктурой (MPS, Managed Print Services) входит автоматизированное исправление ошибок и выявление вторжений в корпоративную сеть на уровне печатных устройств, документов и данных. Также сервис-провайдер поможет внедрить организационные меры и программно-аппаратные решения для полного аудита печатных работ, гибкого управления правами пользователей и ограничения доступа к информации.
***
Промышленный шпионаж и другие киберугрозы могут причинить бизнесу серьезный ущерб. Пробелы в системе безопасности могут привести к тому, что работа офиса будет нарушена, данные пропадут, а конкуренты узнают о стратегических планах и новейших разработках компании. Поэтому критически важно выстроить контроль печати, сканирования и копирования корпоративных данных с учетом самых высоких стандартов информационной безопасности.
Подробнее читайте в журнале «БИТ. Бизнес и информационные технологии».
