數字化演進 企業如何守護文印安全

楊子江

大數據、移動互聯、云計算等新興技術正為企業開啟轉型之路。數據信息沖擊前所未有的體量，并成為驅動企業決策的關鍵。因此，在技術創造紅利的背景下，守護數字資產，被賦予了更為重要的意義。同時不可忽視的是，擁抱數字化體驗也許代表著更多形式的風險挑戰，而在深入的技術變革中，信息泄漏將帶來災難性的后果。

隨著信息在云端的交換和共享，網絡中的任何終端設備都可能成為風險來源。而打印機作為終端設備中的一員，常常會成為極易被攻擊的薄弱環節。美國獨立研究機構Ponemon Institute公布的報告顯示，64%的IT經理認為其公司的打印機可能感染了惡意軟件。與此同時，56%的企業級用戶在終端安全策略中忽視了打印機。尤其在金融業等數據密集型行業中，從各個細節保證設備、文檔、數據和身份信息安全是業內重要的生存法則。其中，文印是不可忽視的關口。對此，惠普在針對大中型企業工作組用戶提供的中高端激光打印機產品家族中，多級安全設置保障了從啟動到關機全程中的安全威脅檢測和及時修護，防止存儲在打印機和傳輸中的敏感數據發生泄漏。

“內外兼修”

降低文檔泄密可能性

不同來源的交叉打印常常會增加企業內部信息泄露的風險。

針對內部文檔泄密，我們將以往通常應用于高端產品的PIN碼打印廣泛應用于2016年秋季最新激光打印產品。PIN碼打印以及USB閃存打印，可有效控制打印權限，實現即插即打，在很大程度上減小了內部文檔泄密的可能性。

面臨更加復雜的網絡環境，訪問控制、數據加密等基礎性保護措施顯然不足以抵抗更為頻繁的中間人攻擊。為了改善數據傳輸薄弱環節，惠普從內置性能開始進行深層防護，提供三大核心安全技術，包括：HP SureStart、白名單及運行時入侵檢測。

SureStart技術用以檢測惡意BIOS攻擊，并從攻擊中實現自我修復。此前這項技術主要應用在PC上，面對各種潛在惡意攻擊、未知錯誤、升級失敗以及其他意外故障，實現PC BIOS修復，獲得更高工作效率。相同的BIOS保護功能現已全面擴展到全新的惠普企業級激光打印機中。該技術能夠自動檢測BIOS是否損害，一旦發現任意未授權的代碼改變，便會啟動系統當中特別存儲隱藏的一個黃金拷貝，實現系統自我恢復，保證設備和基礎代碼不受損害。

其次，固件白名單確保只有已知安全固件可載入打印機并運行。白名單能夠檢查每一個固件組件上的特征碼，在加載到設備的內存之前先確認固件代碼的授權，確保只有已知的安全固件可以載入到打印機上并且運行。如果發現證書不是源自于惠普，那么就意味著打印機有很高的幾率是已經被攻擊者篡改了，這個部件會被自動關閉，同時通知網絡管理員。

運行時入侵檢測是一項新功能，主要是針對惡意攻擊提供設備內存監測，扮演著防火墻的角色，能夠對發現的任何入侵都進行最精細的檢測，給設備修復做好預先的配置。一旦有任何的異樣或者攻擊出現，它都能隨時修復這些配置，自動重啟系統，高效地擦除攻擊者留在打印機里內存的惡意代碼，降低感染風險，并且通過SIEM管理應用，提供警報通知。

“軟硬兼施”

響應未來需求的安全機制

在逐步深化的數字化革命中，大中型企業面臨更多戰略創新與改革。隨著企業規模的不斷擴大，分支結構和二級單位難以在文印安全管理上形成統一。告別傳統運營和業務模式，轉型與創新需要更加靈活的IT系統響應。我們針對企業級環境推出了智優解決方案（HP JetAdvantage Security Manager），讓文印安全管理更為高效和便捷。它是一個基于安全政策的打印機安全合規解決方案，IT部門可以通過智優解決方案建立并維護安全設置，例如關閉端口、禁用訪問協議、自動擦除文件等等。

該解決方案可面向大型群組中全部的辦公打印設備和網絡，管理打印機群。一旦有新的打印機加入群組，這臺新設備能夠按照這個網絡當中其他打印機所使用的政策和管理方法運行，這樣IT管理部門可以無縫地管理設備間的信息交換，保護用戶數據安全，保證公司在打印機管理上符合規定。

在設備重新啟動時，解決方案中的HP Instant-On Security功能將自動檢查并重置任何受影響的設置，讓設備符合用戶公司的安全政策。目前，惠普已對智優解決方案進行了更新，提高其自動化水平，包括自動發現設備，讓尋找打印機和添加打印機變得更加簡單。這種面向打印群組的安全合規解決方案，在IT資源有限的情況下，能夠為大家省時省力，實現高效的管理。

除了惠普智優解決方案（HP JetAdvantage Security Manager）可保護敏感商業數據，企業常用的HP Web Jetadmin也可集中控制文印環境，提升風險管控效率。規模可觀的大中型企業中更需要借助解決方案搭建統一的安全文印體系，將安全管理由被動響應轉為主動管理。

相關鏈接

哈爾濱銀行文印安全“防御術”

哈爾濱銀行對文印安全的關注不是被動防護，也不是事故后的亡羊補牢，提升文印安全防護理念已成為哈爾濱銀行數據中心工作人員的共識。

對銀行數據中心而言，打印機廣泛應用于匯總數據報表、數據遷移核對、內控文件分享等方面。雖然很多數據已采用數字化方式保存，但紙質文件的備份和存檔仍不可或缺，特別是每一次數據遷移之后的核對工作，數據中心都需打印大量文件。

而隨著數據量不斷增長，原來配置的打印機已不能快速高效地完成哈爾濱銀行數據中心的日常打印需求。“新的M506激光打印機為輸出帶來了很多積極變化。”哈爾濱銀行數據中心工程師洪燁表示，“M506激的喚醒時間較短，應用中也就8～9秒的超短時間打印機就能從休眠狀態啟動工作。此外，該設備的打印速度非常快，能實現每分鐘43頁的輸出速度。而最重要的是，該設備還可以支持雙面打印操作，非重要的核對數據文件可采用雙面輸出，不僅可以減少紙張消耗，打印輸出也更加高效。”

此外，M506也提供了相對周全的安全防護策略。據洪燁介紹，M506配置了多項主動安全防范應對策略，如HP SureStart功能。當打印機運行時會檢測BIOS代碼的完整性，一旦BIOS被破壞，HP SureStart會重啟設備，并加載安全的BIOS的黃金副本，確保辦公設備不會成為第三方偷窺的工具。另外，M506還具備固件白名單功能，打印機在啟動過程中會檢查固件，確保它是可信、已知良好的代碼。此外，如果打印機遭遇外部入侵，打印機會第一時間重啟設備，保護用戶的文印安全。

在洪燁看來，這種安全防護體系非常有意義。