Zabezpečení tiskárny: proč je to slabé místo firemní sítě

Síťová tiskárna je počítač s vlastním operačním systémem, pamětí a často i diskem. Pokud má výchozí heslo, starý firmware a otevřené služby do internetu, může se stát vstupní branou do firemní sítě nebo zdrojem úniku dokumentů. Zabezpečení začíná třemi kroky: změnit heslo správce, aktualizovat firmware a vypnout všechno, co nepoužíváte.

Proč by útočník mířil zrovna na tiskárnu?

Tiskárny se snadno přehlédnou. Správce sítě aktualizuje servery a notebooky, ale na zařízení v chodbě zapomene. Přitom tiskárna vidí do sítě stejně jako ostatní počítače a zpracovává smlouvy, výplatní pásky nebo osobní údaje klientů.

Útočník může přes zranitelnou tiskárnu odposlouchávat tiskové úlohy, získat kopie skenovaných dokumentů, posílat faxy nebo e-maily jménem firmy, případně tiskárnu zneužít jako odrazový můstek k dalším zařízením. Známé jsou i případy, kdy někdo hromadně posílal tisky na tiskárny dostupné z internetu, aby ukázal, jak snadné to je.

Jak poznám, že je moje tiskárna zranitelná?

Začněte jednoduchou kontrolou. Zkuste se přihlásit do webového rozhraní tiskárny. Pokud vás pustí bez hesla nebo s heslem z návodu, je to první problém. Podívejte se, jakou verzi firmwaru tiskárna má a kdy vyšla poslední aktualizace od výrobce.

Dále zjistěte, zda je tiskárna dostupná zvenčí. Ve firmě se zeptejte správce sítě, doma zkontrolujte nastavení routeru, zda nemá otevřené porty směrem k tiskárně. Tiskárna by měla být dostupná jen z vnitřní sítě.

Co nastavit hned po instalaci?

Většinu rizik vyřešíte během půl hodiny:

• změňte výchozí heslo správce na silné a jedinečné,
• aktualizujte firmware a zapněte automatické aktualizace, pokud je tiskárna podporuje,
• vypněte nepoužívané protokoly a služby, například starý FTP, Telnet nebo tisk přes internet,
• nastavte šifrovanou komunikaci pro webové rozhraní,
• omezte, kdo smí měnit nastavení a kdo smí skenovat do e-mailu.

Pokud tiskárna nabízí bezdrátové přímé připojení, vypněte ho, nebo ho chraňte heslem. Jinak se k ní může připojit kdokoli v dosahu signálu.

Jak ochránit samotné dokumenty?

Zabezpečení není jen o síti. Častým únikem je papír, který zůstane ležet na výstupním zásobníku. Řešením je takzvaný zabezpečený tisk: úloha čeká v tiskárně, dokud se uživatel neprokáže kódem nebo kartou. Teprve pak se vytiskne.

U multifunkčních zařízení pohlídejte skenování. Nastavte, kam se smí skeny posílat, a zakažte odesílání na libovolné externí adresy. Uložené úlohy a adresáře v paměti tiskárny pravidelně mažte.

Pomáhá i jednoduché pravidlo pro zaměstnance: citlivé dokumenty netisknout na sdílené tiskárně bez zabezpečeného tisku.

Co dělat při výměně nebo vyřazení tiskárny?

Tiskárny s pevným diskem nebo flash pamětí uchovávají kopie tisků, skenů a adresáře. Před vrácením z pronájmu, prodejem nebo likvidací proveďte obnovení továrního nastavení a bezpečné vymazání úložiště, pokud ho tiskárna nabízí. U zařízení, která zpracovávala citlivá data, se vyplatí nechat disk fyzicky zničit a vyžádat si o tom protokol.

Totéž platí pro pronajaté stroje. Ve smlouvě s dodavatelem by mělo být uvedeno, jak naloží s daty při ukončení pronájmu.

Týká se to i domácí tiskárny?

Ano, i když riziko je menší. Domácí tiskárna připojená přes Wi-Fi bývá v síti spolu s notebooky, telefony a chytrými zařízeními. Pokud útočník ovládne router nebo některé zařízení, může tiskárnu využít ke sledování nebo k dalšímu šíření.

Doma stačí několik jednoduchých kroků. Změňte heslo k webovému rozhraní tiskárny, nainstalujte aktualizace z aplikace výrobce a vypněte vzdálený tisk přes internet, pokud ho nepotřebujete. U routeru zkontrolujte, zda nemá zapnuté automatické otevírání portů pro zařízení v síti.

Pozor také na cloudové služby výrobců. Umožňují tisknout odkudkoli, ale vyžadují účet. Zabezpečte ho silným heslem a dvoufázovým ověřením, pokud ho služba nabízí. Při prodeji staré tiskárny obnovte tovární nastavení, aby si nový majitel neodnesl uložené přístupy k Wi-Fi a e-mailu.

Jak bezpečnost hlídat dlouhodobě?

Zařaďte tiskárny do pravidelné správy IT stejně jako počítače. Veďte jejich seznam s umístěním, verzí firmwaru a odpovědnou osobou. Jednou za čtvrt roku zkontrolujte aktualizace a projděte nastavení.

Ve větší firmě má smysl umístit tiskárny do samostatné části sítě, ze které nevede přímá cesta k serverům. Správce pak může sledovat neobvyklou komunikaci a rychle zasáhnout. U menší firmy postačí pravidelná kontrola, silné heslo a aktuální firmware. I tyto základní kroky odradí většinu automatizovaných útoků, které hledají snadné cíle.

Pokud zpracováváte osobní údaje, zabezpečení tiskáren je součástí technických opatření, která po vás vyžaduje obecné nařízení o ochraně osobních údajů.

Zdroje

• Národní úřad pro kybernetickou a informační bezpečnost
• Úřad pro ochranu osobních údajů
• Návody a bezpečnostní doporučení výrobců tiskáren