Bezpieczeństwo informacji w systemach druku
Współczesny biznes opiera się na dostępie do wiedzy, stanowiącej podstawę dla podejmowanych decyzji. Błędna, bądź nieaktualna informacja może być źródłem różnorodnych i nierzadko poważnych problemów. W ramach bieżącej działalności każda organizacja pozyskuje informacje w rozmaity sposób, przetwarza je, analizuje. Sama jest również źródłem wiedzy generowanej ramach realizacji wewnętrznych procesów, jak również w obszarze komunikacji z dostawcami czy klientami. Bez względu na strategię pozyskiwania informacji, technologię jej przetwarzania czy też sposób dystrybucji, informacja w postaci rekordu, bądź dokumentu pozostaje najistotniejszą wartością organizacji, której ochrona staje się jednym z najważniejszych elementów polityki bezpieczeństwa każdego przedsiębiorstwa bądź instytucji.
| Z badań prowadzonych przez renomowane instytucje analityczne w przedsiębiorstwach działających w rozmaitych branżach wynika, iż najpoważniejsze zagrożenia dla posiadanej wiedzy kryją się wewnątrz samej organizacji. Faktycznie, obecne zabezpieczenia sprzętowe oraz programowe, stosowane polityki bezpieczeństwa określające ściśle zdefiniowane poziomy dostępu do danych są implementowane wszędzie tam, gdzie informacje są przechowywane oraz przetwarzane. Dostęp do nierzadko poufnej wiedzy dla określonych grup użytkowników wydaje się być zatem ściśle kontrolowany. Okazuje się jednak, że nadal istnieją obszary pozostawione poza kontrolą współczesnych, nawet bardzo restrykcyjnych systemów bezpieczeństwa. Co więcej, większość administratorów zarządzających zaawansowaną infrastrukturą informatyczną zdaje się nie dostrzegać nadal istniejących zagrożeń, pomimo faktu, iż niemal każdy proces biznesowy, którego elementem jest nieunikniona transformacja dokumentu z formy papierowej do elektronicznej, czy też jego wydruk, obarczony jest ryzykiem utraty kontroli nad posiadaną wiedzą. Sytuacja ta jest konsekwencją pozytywnego, co do zasady zjawiska, jakim jest intensywny postęp technologiczny, pozwalający na przetwarzanie ogromnych ilości informacji gromadzonych przez przedsiębiorstwa. |
|
|
|
|
Przykładem niezabezpieczonego ogniwa systemu, który pozwoli zobrazować skalę problemu jest współczesne urządzenie wielofunkcyjne, podłączone do wewnętrznej sieci komputerowej. Podczas gdy stacje robocze, serwery chronione są dziesiątkami zaawansowanych technologii, urządzenie MFP, czy też drukarka sieciowa pozostaje najbardziej zaniedbanym elementem infrastruktury. Warto przy tym pamiętać, iż obecnie są to inteligentne produkty, wyposażone w wydajne procesory, pojemne pamięci, dyski twarde, zaawansowane funkcje przetwarzania oraz szerokie możliwości komunikacyjne. Jednocześnie praktycznie każda, wydawałoby się intensywnie chroniona przez organizację informacja lub dokument, prędzej czy później będzie skanowana, kopiowana lub drukowana z wykorzystaniem posiadanej floty urządzeń. |
| I tu dochodzimy do sedna problemu. Dobór drukarek i urządzeń wielofunkcyjnych jest dzisiaj dyktowany potrzebą biznesową, definiowaną w obszarze podstawowych funkcji, realizowanych przez te urządzenia. O wyborze konkretnego modelu decydują jego parametry pracy, szybkość, wydajność, jakość, czasami przywiązanie do konkretnej marki. Wszystkie te elementy rozpatrywane są dodatkowo w funkcji ceny produktu, określającej wartość inwestycji w konkretny element infrastruktury, oraz kosztów eksploatacji docelowej floty urządzeń. W istocie drukarka, czy inteligentne urządzenie MFP jest częścią większego i bardzo wrażliwego systemu, jakim jest środowisko dokumentowe każdej organizacji. Niestety, kwestia bezpieczeństwa informacji przetwarzanej przez dobierany w dzisiejszych postępowaniach sprzęt jest praktycznie pomijana. Wystarczy „rzucić okiem” na pierwszą z brzegu Specyfikację Istotnych Warunków Zamówienia, dla przetargu publicznego, lub też zapytania ofertowego dowolnego przedsiębiorstwa. Obszar bezpieczeństwa w przypadku druku pozostaje poza kontrolą co powoduje, że posiadana, nowoczesna flota urządzeń może być źródłem równie nowoczesnych zagrożeń. |
 |
Ryzyko związane ze współczesnymi zagrożeniami można jednak skutecznie ograniczać, a w niektórych obszarach wyeliminować całkowicie. Wymaga to jednak wiedzy na temat źródeł potencjalnego niebezpieczeństwa. W przypadku urządzeń wielofunkcyjnych i drukarek, możemy je podzielić ze względu na ich umiejscowienie. |
|
Podstawowe ryzyko utraty kontroli nad drukowanym dokumentem leży po stronie samego użytkownika i wiąże się z jego przyzwyczajeniami. Wielokrotnie mamy do czynienia z zawierającymi istotne informacje dokumentami, pozostawionymi „na drukarce” przez niefrasobliwych pracowników. Może to być lista płac, kontrakt z klientem, cennik, bądź jakakolwiek inna informacja stanowiąca ogromną wartość dla konkurencji.
Mechanizmy eliminujące problem „bezpańskich” wydruków są obecnie dostępne w postaci konkretnych rozwiązań, oferowanych przez producentów sprzętu, takich jak firma Ricoh, która wyposaża swoje produkty w funkcję Enhanced Locked Print NX, będącą w istocie implementacją mechanizmu „wydruku podążającego” za użytkownikiem. Efektem stosowania tej funkcji jest zablokowanie na urządzeniu dokumentu wysłanego do druku, do momentu dokonania na drukarce lub urządzeniu wielofunkcyjnym autoryzacji z użyciem indywidualnego identyfikatora oraz hasła przez upoważnionego użytkownika. Jest to rozwiązanie proste i oferowane jako standardowa funkcja urządzeń Ricoh, wymuszające określone, pożądane wzorce zachowań użytkowników nowoczesnych urządzeń drukujących.
Możliwa jest również implementacja podobnego mechanizmu, dedykowanego większym organizacjom, z wykorzystaniem zaawansowanych systemów, jakim są na przykład produkty firmy Equitrac. Rozwiązania te są o tyle ciekawsze, że wydruk do momentu autoryzacji przechowywany jest na zabezpieczonym serwerze, a sama autoryzacja może być przeprowadzona z użyciem unikalnego kodu bądź indywidualnych kart zbliżeniowych lub magnetycznych, powszechnie wykorzystywanych w przedsiębiorstwach do kontroli dostępu do pomieszczeń oraz kontroli czasu pracy. Sposobów autoryzacji jest tyle, ile dostępnych technologii identyfikujących indywidualnych użytkowników, włączając w to również rozwiązania biometryczne. Definiują one poziom bezpieczeństwa, który można określać w zależności od konkretnych wymagań stawianych przez organizacje. System Equitrac, poza wymienioną wyżej funkcjonalnością oferuje również możliwość doskonale dokładnego zarządzania kosztem druku, pozwalającego rozliczać go na konkretnych użytkowników, departamenty bądź przypisywać do realizowanych projektów, czy do miejsc powstawania kosztów (MPK). Przywołane systemy pozwalają również na oznaczanie wszystkich produkowanych w firmie dokumentów unikalnym identyfikatorem użytkownika drukującego pracę, wraz z dokładnym czasem oraz adresem drukarki na której został wykonany. Taka metoda „personalizacji” wydruku gwarantuje jego przypisanie do określonego pracownika, co w przypadku niestosowania się do określonych procedur bezpieczeństwa, pozwala wyciągnąć niezbędne konsekwencje w stosunku do konkretnej osoby. |
 |
|
|
Innym przykładem ryzyka związanego z aktywnością użytkownika, jest pozostawiony w sferze dowolności proces skanowania dokumentów. Pracownicy przedsiębiorstw wielokrotnie skanują dokumenty firmowe do rozmaitych lokalizacji, takich jak ogólnie dostępne katalogi sieciowe, serwery FTP, czy adresy e-mail. Szlachetne założenie, mające na celu podniesienie efektywności pracy poprzez eliminację dokumentu papierowego, może powodować niekontrolowaną dystrybucję poufnych informacji do miejsc, w których nigdy nie powinny się znaleźć. I w tym wypadku producenci urządzeń oferują gotowe rozwiązanie problemu. Jednym z nich jest oprogramowanie GlobalScan firmy Ricoh, które zainstalowane na samym urządzeniu, w połączeniu z dedykowaną aplikacją serwerową, pozwala określić rodzaje dokumentów, z którym pracują określone grupy użytkowników bądź konkretne osoby oraz zdefiniować lokalizacje, w których elektroniczne wersje dokumentów mają być przechowywane. Mogą to być określone katalogi, adresy e-mail, pozostające pod kontrolą administratorów. Systemy takie jak GlobalScan lub NSI Autostore, pozwalają również na skanowanie dokumentów bezpośrednio do baz danych, gdzie dostęp do nich jest ściśle kontrolowany i logowany. To rozwiązanie pozwala dodatkowo na inicjowanie procesów obiegu dokumentów w organizacji bezpośrednio z urządzeń wielofunkcyjnych, w sposób rozproszony, ale jednocześnie w pełni zarządzalny. Ma to ogromny wpływ na obniżenie kosztów implementacji systemów typu workflow oraz zwiększa efektywność dostępu do wiedzy, poprzez pełną indeksację treści ułatwiającą jej wyszukiwanie, wersjonowanie dokumentów oraz pełną nad nimi kontrolę, na każdym etapie cyklu ich „życia”. Zagadnienie to jest już jednak odrębną kwestią dotykającą niezwykle szerokiej tematyki związanej z przechowywaniem i udostępnianiem informacji. |
|
Inny obszar powszechnego braku kontroli przetwarzanej informacji jest tak podstawowy jak komunikacja oparta na sieciach LAN. Każde urządzenie podłączone do sieci komunikuje się w ramach zdefiniowanych protokołów. Komunikacja ta jest jednak na tyle tylko bezpieczna, na ile sami uczyniliśmy ją bezpieczną. Sieci większości firm są całkiem dobrze chronione przed atakami ze „świata zewnętrznego”, mimo to co jakiś czas słyszymy o skutecznych włamaniach do systemów bankowych, instytucji publicznych, niosących ze sobą akty wandalizmu lub – co gorsza – kradzież wrażliwych informacji. Praktycznie nie ma miesiąca bez doniesień medialnych, traktujących o skradzionych numerach kart kredytowych, hasłach dostępu do serwisów internetowych, etc. Prawdziwie poważne ryzyko związane z komunikacją sieciową umiejscowione jest jednak – co wynika z prowadzonych badań – wewnątrz organizacji. Co ciekawe, ryzyko to można w prosty sposób ograniczyć, jednak w ogromnej większości przypadków świadomość istnienia niebezpieczeństwa pojawia się za późno, gdy wrażliwe dane firmowe mogą być już w posiadaniu najzacieklejszego konkurenta. |
|
Tu również czynnik ludzki odgrywa poważną rolę, bo transfer wiedzy ma w takich wypadkach miejsce w wyniku celowego działania pracownika organizacji. Niezadowolony pracownik może wyrządzić więcej szkód, niż niejeden wyspecjalizowany, wyposażony w wiedzę i niezbędne narzędzia włamywacz. Niestety również w tym przypadku źródłem zagrożenia może być „usieciowiona” drukarka lub urządzenie wielofunkcyjne.
W 99 firmach na 100 komunikacja pomiędzy komputerem użytkownika a drukarką odbywa się „otwartym tekstem”. Transmisja pomiędzy stacją roboczą a urządzeniem drukującym nie jest w żaden sposób szyfrowana. Zasada funkcjonowania dzisiejszych sieci opartych na protokole IP pozwala przy wykorzystaniu ogólnie dostępnych, darmowych, nie wymagających zaawansowanej wiedzy narzędzi podsłuchiwać transmisję pomiędzy dowolnymi urządzeniami. Rzeczony, niezadowolony pracownik, planujący opuszczenie organizacji, bez większego trudu może przez długi okres czasu przechwytywać informacje wysyłane na dowolne urządzenia drukujące w sieci firmowej. Jeśli weźmiemy pod uwagę fakt, że praktycznie każda informacja w firmie prędzej czy później zostanie wydrukowana, ilość wiedzy, która może trafić w niepowołane ręce jest ogromna. Rozwiązaniem jest szyfrowanie lub tunelowanie transmisji pomiędzy wrażliwymi punktami. Zastosowanie tego rozwiązania wymaga od administratora jedynie przeprowadzenia odpowiedniej konfiguracji stacji roboczych oraz urządzeń drukujących, które jednakowoż muszą być wyposażone w możliwość komunikowania się w sposób dyskretny. Funkcjonalność taką posiadają praktycznie wszystkie urządzenia firmy Ricoh, w których dostępnymi standardami są; szyfrowanie SSL lub tunelowanie IP. Rozwiązanie jest proste i niezwykle skuteczne. Jak zwykle w takich przypadkach, wiedza o dostępności rozwiązań, powiązana ze świadomością istnienia zagrożenia pozwala uniknąć ewentualnych przykrych konsekwencji już na etapie planowania inwestycji, w tym wypadku w wydawałoby się bezpieczny obszar jakim jest druk.
|
|
Pozostając przy niezadowolonym pracowniku, posiadającym dostęp do wielu tajemnic firmy, nie możemy zapominać o zwykłym dokumencie papierowym, który również może stać się przedmiotem pożądania potencjalnego konkurenta. Istotna dokumentacja przechowywana nawet w przygotowanych dla tego celu pomieszczeniach może zostać skopiowana przy użyciu zwykłej biurowej kopiarki i wyniesiona z firmy. Zabezpieczenie oryginałów przed niepowołanym dostępem jest trudne i wymaga stosowania restrykcyjnych polityk bezpieczeństwa. Implementacja tego typu systemów jest skomplikowana i kosztowna. W określonych jednak przypadkach jest absolutnie niezbędna. Ponownie producenci urządzeń drukujących, kopiujących, posiadający niezbędną technologię mogą dostarczyć rozwiązania, dzięki któremu dokument broni się niemalże sam. Firma Ricoh oferuje rozwiązanie Copy Data Security, implementowane bezpośrednio w inteligentnych urządzeniach wielofunkcyjnych, które w połączeniu z technologią nanoszenia na drukowane dokumenty niewidocznych mikrodruków uniemożliwia ich nieautoryzowane kopiowanie, skanowanie, czy wysłanie faksem poza organizację. W praktyce, urządzenie wielofunkcyjne wsparte tą technologią, w przypadku próby wykonania jednej z wymienionych czynności na zabezpieczonym uprzednio dokumencie, „produkuje” absolutnie nieczytelną kopię oraz podnosi alarm, w związku z podjęciem przez użytkownika nieautoryzowanej aktywności. |
 |
|
Aby w pełni zabezpieczyć dokumentację należy zastosować flotę drukarek oraz urządzeń wielofunkcyjnych opartych o ofertę jednego producenta – w tym wypadku Ricoh. Nawet jednak w przypadku kopiowania zabezpieczonego dokumentu na urządzeniach firm trzecich, zastosowana technologia zabezpieczająca spowoduje, iż niewidoczny tekst zabezpieczający oryginał, na wykonanej kopii stanie się doskonale widoczny, jednoznacznie definiując nieautoryzowany charakter dokonanego kopiowania. Ukryty tekst, bądź wzór może być modyfikowany przy zabezpieczaniu dokumentów tak, aby możliwe było dokładne określenie źródła pozyskanej informacji. |
 |
Nowoczesne urządzenia wielofunkcyjne przechowują wydruki poufne na wewnętrznych dyskach twardych. Z tego faktu wynikają konkretne zagrożenia;
W tym samym czasie większość urządzeń drukujących posiada dyski niezabezpieczone żadną technologią szyfrującą co powoduje, ze zachowane na nich dane mogą zostać utracone w wyniku dość prostej kradzieży. Zabezpieczeniem oferowanym przez firmę Ricoh jest technologia HDD encryption, która pozwala zabezpieczyć dane przechowywane na dyskach urządzeń wielofunkcyjnych z wykorzystaniem nowoczesnych algorytmów. |
|
Opisane wyżej technologie podnoszące poziom bezpieczeństwa w obszarze zarządzania informacją przetwarzaną przez współczesne organizacje, są odpowiedzią producentów na zagrożenia, pojawiające się wraz z postępem technologicznym, podążającym wymaganiami biznesu reagującego na coraz to nowe oczekiwania Klientów. Te z kolei, kreowane są rozwojem mediów elektronicznych a także coraz krótszym cyklem życia pojedynczej informacji. Szybkość, elastyczność oraz efektywność prowadzonych działań określają tym samym możliwość odnoszenia sukcesów. Sukces napędzany jest innowacyjnością, innowacyjność nierozerwalnie łączy się z technologią, a kolejny postęp tej ostatniej definiuje nowe zagrożenia. Powstawania niebezpieczeństw nie da się skutecznie wyeliminować, jednak świadomość istnienia konkretnych zagrożeń pozwala ograniczać ryzyka związane z ich obecnością. Gdy dostęp do wiedzy definiuje konkurencyjność przedsiębiorstwa, niekontrolowany wyciek informacji może oznaczać wymierną stratę w wymiarze finansowym i wizerunkowym. Dlatego też inwestycja w odpowiedni sprzęt musi być rozpatrywana w aspekcie znacznie szerszym niż jedynie cena produktu, a posiadana flota urządzeń postrzegana jako element inteligentnego systemu dokumentowego.
|