La seguridad en el entorno de impresión
Las empresas de hoy en día tienen un gran desafío por delante. Por un lado, necesitan reducir costes sin perder eficiencia operacional. Por otro lado, tienen que hacer frente a un entorno cada vez más regularizado en el que los equipos de gestión se ven obligados a reconsiderar sus sistemas de seguridad y compatibilidad.
No obstante, ya hace tiempo que la seguridad constituye una de las grandes preocupaciones de los equipos directivos y técnicos. Un claro ejemplo son los sistemas de control de acceso que exigen a los empleados una identificación (como tarjetas de acceso o contraseña) para acceder a las oficinas o centros de trabajo.
Pero esta preocupación por la seguridad se ha extendido de manera que no sólo se busca ya la protección de la red corporativa frente a amenazas externas, sino que existe una preocupación creciente por defender la red de posibles ataques internos.
En este sentido, se debe empezar por evaluar las posibles vulnerabilidades, y aquí es donde entra en escena una de las herramientas más utilizadas en la empresa: la impresora o multifunción.
Si se pasa por alto la seguridad del entorno de impresión, las consecuencias para la empresa pueden ser devastadoras. Porque, ¿qué es lo que impide a un trabajador imprimir documentos confidenciales y sacarlos de la empresa? O, ¿por qué no iba alguien a ver por casualidad la nómina impresa de un compañero que se olvida en la bandeja de la multifunción?
Más aún, a muchos responsables de IT se les olvida (o tal vez desconocen) que la información confidencial puede fácilmente filtrarse cuando se envía una impresora o multifunción a reparar o cuando se sustituye por otra.
Todos estos factores deberían tenerse en cuenta a la hora de evaluar los sistemas de seguridad de una empresa.
Entender la seguridad
La seguridad en el entorno de impresión debe planificarse. En primer lugar, se debe restringir el acceso, normalmente a través de alguna forma de identificación y autorización. En segundo lugar, se debe proteger la información con algún sistema de cifrado. Y en tercer lugar, hay que conseguir que los documentos se impriman de forma segura, con una marca de agua o con otro tipo de sello.
Es importante asegurar el entorno de impresión para que la información confidencial de la empresa pueda imprimirse, copiarse, escanearse y enviarse con ciertas garantías. Entre las principales amenazas se encuentran:
– Incursión en la red
– Espionaje en la red
– Robo de información
– Acceso no autorizado
– Invasión de la privacidad
– Eliminación, intencionada o no, de la información
Por consiguiente, resulta de vital importancia conocer las amenazas que afectan a los entornos de impresión.
Los riesgos de las impresoras en red
Los equipos multifunción en red pueden ser un foco de penetración importante para la empresa, por lo que conviene comprobar si el equipo cuenta con un certificado Common Criteria en regla.
Common Criteria es un estándar de seguridad internacional que la industria IT utiliza para certificar el nivel de seguridad de sus productos. Este sistema de certificación ayuda a los profesionales a elegir los dispositivos en red más apropiados. Para obtener esta certificación, los vendedores deben enviar el dispositivo a los laboratorios de Common Criteria. Allí se prueba la seguridad de cada una de las funciones, y después se otorga una puntuación que acompaña al certificado Common Criteria del producto. Samsung, por ejemplo, recibió una certificación EAL 3 para sus productos multifunción, lo que sin duda tranquilizará a muchos de sus clientes.
Los dispositivos A4 de Samsung utilizan programas propietarios. Sin embargo, los A3 utilizan programas XOA (Arquitectura Abierta eXtensible) sobre Linux
La amenaza del disco duro
Casi todas las impresoras y equipos multifunción fabricados a partir de 2002 incluyen un disco duro, y pocos saben que estos dispositivos guardan una imagen de casi todos los documentos que la impresora haya copiado, escaneado, impreso o enviado por correo electrónico. Incluso las máquinas de fax almacenan una gran cantidad de información de esta manera.
En realidad, los equipos multifunción modernos son tan sofisticados que para muchos constituyen una verdadera “bomba de relojería” digital. Aunque la información del disco duro se sobrescribe con cada utilización de la impresora, siempre es posible recuperar la información si no se programa el equipo para que “limpie” automáticamente el disco duro de tanto en tanto. Por desgracia, muchos responsables de IT desconocen esta posibilidad y ponen en riesgo la confidencialidad de la información de su compañía.
Por ejemplo, muchas empresas alquilan sus equipos multifunción. Pero, ¿qué ocurre cuando termina el contrato o cuándo el equipo se estropea y sale de la oficina para que lo arreglen? Estas máquinas constituyen una mina de oro en potencia para los ladrones de identidad.
De hecho, los expertos en seguridad advierten que cuando se compra una multifunción de segunda mano, hay una media de 20.000 documentos confidenciales que pueden recuperarse fácilmente con un programa de análisis forense.
Por eso, la empresa debe ser consciente del agujero de seguridad que su entorno de impresión representa y tomar las medidas necesarias para que todos los dispositivos que salgan de la oficina, por la razón que sea, lo hagan limpios de información confidencial. Las multifunción de Samsung cifran la información y después la sobrescriben para minimizar el riesgo de robo.
Cifrado e identificación
Afortunadamente, la mayoría de los fabricantes del sector incorporan en sus equipos algún sistema de seguridad y cifrado. Aun así, parece que muchas empresas siguen arriesgándose a posibles robos de identidad, demandas legales y sustracción de información por no apostar por estas soluciones.
Para proteger su información, las empresas deben utilizar sistemas de cifrado y sobrescritura de datos en las impresoras y equipos multifunción. El cifrado codifica la información de manera que sólo la persona que posee la “llave” puede visualizarlo. La sobrescritura, por el contrario, borra todo lo que se ha fotocopiado o escaneado. Los sistemas de cifrado protegen toda la información que se transmite desde un servidor a la impresora, así como la información almacenada en ella. También aseguran los correos electrónicos impresos y los documentos almacenados.
Por norma, los fabricantes de impresoras no incorporan en sus productos módulos de identificación de dispositivos. No es el caso de Samsung, que utiliza el chip Trusted Platform Module (TPM) como garantía de identificación segura. Samsung utiliza, por ejemplo, el estándar de cifrado AES 256, superior al AES 128, que es el que suele utilizar la industria.
Cola de impresión segura
El sistema Samsung SecuThru Lite controla la recogida de los documentos impresos con un sistema de identificación de usuario, que puede hacerse a través de tarjetas personales y contraseñas, tarjetas de proximidad, o incluso a través de la red, con métodos de autenticación como el LDAP, o la solución para gestión de red segura Samsung Syncthru Admin 5.
Algunos fabricantes ofrecen también la tarjeta de acceso común (CAC, por sus siglas en inglés), un estándar de autenticación desarrollado por el Departamento de Defensa estadounidense para controlar el acceso de los usuarios a ordenadores, impresoras multifunción, redes y otros dispositivos.
En cuanto a su funcionamiento, el usuario debe insertar la tarjeta CAC (por ejemplo, la de Samsung) y después introducir un número PIN. La impresora comprueba la autenticidad del PIN con protocolos como Kerberos o LDAP y verifica que el usuario está autorizado a hacer uso de una determinada función. El servidor del LDAP almacena después el rastro.
Todas las funciones de la impresora no se bloquearán si el usuario tiene el permiso necesario. La tarjeta CAC se adapta a la política de seguridad del negocio y garantiza colas de impresión seguras.
El chip de la tarjeta incorpora la dirección de correo electrónico del usuario, el lugar dónde se adquirió la misma y las certificaciones (como autorización, firma digital y cifrado). Contiene también la dirección física y el teléfono del usuario y puede utilizarse para acceder a zonas seguras o dispositivos de ofimática protegidos. La identificación de cada individuo en el punto de impresión es rápida y sencilla, por lo que pueden fácilmente imprimir, recoger, enviar por correo electrónico o por fax los documentos confidenciales.
Opciones de administración
Con el software de administración para la impresión, los responsables de IT controlan la manera en la que se imprimen los documentos, ajustan los parámetros de impresión y el tiempo en el que un trabajo tarda en eliminarse y verifican los permisos que se utilizan para imprimir, entre otras cosas.
Un buen software de administración debería facilitar la distribución de los costes de impresión por las distintas unidades del negocio, así como contribuir a la detección de posibles brechas de seguridad y controlar el uso que se hace de los dispositivos. Por ejemplo, ¿está algún empleado imprimiendo la base de datos del cliente?
El registro de las impresiones es una fuente de información valiosísima y de gran utilidad para los administradores del sistema, sobre todo en los casos en los que se necesita rastrear la pérdida de un documento en particular. Estos registros también les permiten investigar el histórico de registros de un usuario y crear informes de uso individuales o departamentales.
Escaneado y envío por fax seguros
Algunas impresoras multifunción incluyen funciones de escaneado seguro. Normalmente, consiste en enviar la información escaneada a un PC o a un usuario con alguna forma de cifrado. Un sistema que, sin embargo, no protege al documento en el momento en el que se materializa en papel (a través de una copia o archivo PDF). Samsung Secure Data, por ejemplo, cifra el archivo PDF para proteger su contenido de accesos no autorizados. Y los usuarios pueden añadir una firma digital al archivo en cuestión.
En cuanto a las copias en papel, el documento queda protegido con marcas de agua o con números de registro, un sistema que permite rastrear al responsable individual de la impresión.
Por otro lado, los administradores suelen pasar por alto las cuestiones de seguridad en las operaciones realizadas vía fax. Estas máquinas suelen tener mucha capacidad de memoria en imagen, algo que beneficia la retención de documentos y pone en peligro su confidencialidad. Una vez más, merece la pena consultar a los distribuidores para conocer las distintas opciones de seguridad.
En el caso de Samsung, la solución se llama Secure Fax, una función que restringe el acceso no autorizado a los documentos recibidos por fax. Con esta opción, todos los documentos que se reciben vía fax se almacenan en la memoria y quedan protegidos por una contraseña, para que sólo los usuarios autorizados puedan acceder a ellos.
Este tipo de soluciones son muy importantes, sobre todo en los círculos legales o financieros, donde el envío de faxes es aún corriente.
Conclusión
En este documento hemos señalado algunas de las cuestiones de seguridad que afectan al entorno de impresión empresarial.
Son pocas las empresas que reconocen la importancia de la seguridad en sus operaciones de impresión y, sin embargo, es un aspecto clave a la hora de proteger la confidencialidad y la integridad del negocio.
La empresa que cuenta con una solución de impresión segura, puede asignar sin miedo la producción de documentos al individuo o departamento que mejor convenga. Esto no sólo garantiza la protección global de la empresa, sino que ayuda también a controlar los costes y a reducir los gastos operacionales.
