HP ostrzega przed pomijaniem drukarek w strategiach bezpieczeństwa IT

Drukarki i urządzenia wielofunkcyjne od dawna są podłączone do firmowych sieci, przetwarzają poufne dane i korzystają z własnego oprogramowania układowego. Mimo to nadal bywają traktowane jak prosta infrastruktura biurowa. HP zwraca uwagę, że takie podejście staje się coraz trudniejsze do utrzymania, szczególnie w ochronie zdrowia, administracji publicznej i innych sektorach podlegających zaostrzającym się wymaganiom cyberbezpieczeństwa.

Problem dobrze pokazuje sektor ochrony zdrowia. Drukarki są tam wykorzystywane przy wypisach, receptach, wynikach badań, dokumentacji pacjentów czy identyfikacji osób poddawanych leczeniu. Oznacza to, że przetwarzają dane objęte szczególną ochroną, a część urządzeń może dodatkowo przechowywać zeskanowane lub wydrukowane dokumenty we własnej pamięci.

HP wskazuje kilka typowych obszarów ryzyka. Są to nieaktualizowane oprogramowanie układowe, nieszyfrowane nośniki, dokumenty pozostawione na tacach odbiorczych, brak centralnego monitorowania floty oraz możliwość wykorzystania przejętej drukarki jako punktu wejścia do dalszej infiltracji firmowej sieci. Szczególnym problemem są urządzenia eksploatowane przez wiele lat. Jeżeli drukarka nie jest objęta tym samym procesem zarządzania poprawkami i konfiguracją co komputery czy serwery, może przez długi czas pozostawać niezauważonym elementem podatnym na atak.

Znaczenie ma również końcowy etap życia sprzętu. Swego czasu głośny był przypadek opisany przez Niebezpiecznik.pl, w którym używana kserokopiarka kupiona przez prywatną uczelnię miała zawierać około 60 GB danych pochodzących z przychodni medycznej. Pokazuje to, że zagrożenie może pojawić się nie tylko podczas bieżącej pracy urządzenia, ale również po jego wycofaniu.

– Drukarki znajdują się na kluczowych ścieżkach opieki nad pacjentem, od przyjęcia, przez wypis, po rozliczenia, co sprawia że bezpieczeństwo druku to coś więcej niż tylko kwestia IT czy zgodności z przepisami – mówi Kamil Majchrzak, Country Office Print Category Manager w HP Inc Poland.

Regulacje zwiększają presję na organizacje

Znaczenie infrastruktury druku rośnie również w związku z wymaganiami regulacyjnymi. Urządzenia, które tworzą, odbierają, przechowują lub przesyłają informacje o pacjentach, podlegają zasadom ochrony danych wynikającym między innymi z RODO.

HP wskazuje również na ustawę o Krajowym Systemie Cyberbezpieczeństwa wdrażającą dyrektywę NIS2 oraz na zaproponowaną w 2026 roku przez Ministerstwo Cyfryzacji „Cyber Piątkę”. Pakiet ma objąć między innymi certyfikację firm przetwarzających dane medyczne, minimalne wymagania technologiczne oraz dodatkowe obowiązki dotyczące ochrony informacji. Z perspektywy np. szpitala oznacza to konieczność spojrzenia na flotę urządzeń drukujących jako część całej infrastruktury technologicznej. Jeżeli drukarki nie znajdują się w inwentaryzacji zasobów, nie są regularnie aktualizowane albo administrator nie widzi ich konfiguracji, mogą powstawać obszary trudne do uwzględnienia podczas analizy ryzyka i audytów.

Rozwiązaniem jest centralne zarządzanie, szyfrowanie danych, kontrola integralności oprogramowania układowego oraz uwierzytelnianie użytkowników. Przydatny jest również mechanizm uwalniania wydruku dopiero po potwierdzeniu tożsamości pracownika przy urządzeniu. Ogranicza to ryzyko pozostawiania dokumentacji medycznej w ogólnodostępnych miejscach.

Dzisiejsza drukarka może pracować także w 2030 roku

Na problem bezpieczeństwa urządzeń trzeba jednak patrzeć także znacznie dalej. HP zwraca uwagę na przygotowania Unii Europejskiej do przejścia na kryptografię odporną na ataki wykorzystujące komputery kwantowe. Ma to szczególne znaczenie w przypadku sprzętu kupowanego z myślą o wieloletniej eksploatacji. Drukarka zamówiona dziś przez urząd, szpital czy dużą firmę może nadal działać w 2030 roku.

Urządzenia tego typu korzystają z kluczy kryptograficznych pozwalających między innymi sprawdzać autentyczność firmware. Część takich kluczy jest zapisywana już podczas produkcji. HP określa je jako kotwice zaufania. Problem pojawia się wtedy, gdy zostały one oparte na algorytmach, które w przyszłości przestaną zapewniać odpowiedni poziom bezpieczeństwa.

Zmiana takich elementów już po wdrożeniu urządzenia może być trudna, a w części konstrukcji nawet niemożliwa. W efekcie sprzęt nadal sprawny technicznie może przestać spełniać wymagania dotyczące bezpieczeństwa jeszcze przed planowanym końcem eksploatacji.

Zagrożenie nie ogranicza się przy tym do możliwości odszyfrowania danych. HP zwraca uwagę również na scenariusz określany jako „trust now, forge later”, czyli „zaufaj teraz, sfałszuj później”. Odpowiednio zaawansowany komputer kwantowy mógłby zostać wykorzystany do podważenia mechanizmu zaufania i stworzenia fałszywego podpisu cyfrowego, który urządzenie uznałoby za prawidłowy.

– Rok 2030 to już nie odległy przepis. To kryterium, które już dziś powinno trafić do specyfikacji każdego nowego urządzenia biurowego – Majchrzak.

Bezpieczeństwo przez cały cykl życia sprzętu

Oba problemy prowadzą do podobnego wniosku. Przy zakupie sprzętu przedsiębiorstwa i instytucje powinny oceniać nie tylko jego bezpieczeństwo w momencie wdrożenia, lecz także możliwość utrzymania odpowiedniego poziomu ochrony przez cały okres eksploatacji. W praktyce oznacza to pytania o częstotliwość aktualizacji firmware, mechanizmy szyfrowania, centralne zarządzanie flotą, bezpieczne usuwanie danych oraz możliwość zmiany stosowanych algorytmów kryptograficznych.

HP wskazuje, że w przypadku kryptografii postkwantowej jednym z rozwiązań okresu przejściowego może być podejście hybrydowe, łączące obecne mechanizmy kryptograficzne z algorytmami projektowanymi z myślą o odporności na komputery kwantowe. Równie istotna jest zdolność sprzętu do dalszych aktualizacji wraz ze zmianą standardów.

Zmienia to także rolę działów zakupów. Koszt urządzenia, szybkość druku i wydajność materiałów eksploatacyjnych pozostają ważne, ale w części organizacji do specyfikacji coraz częściej będą musiały trafiać wymagania dotyczące całego cyklu życia zabezpieczeń. Drukarka nie jest już bowiem urządzeniem stojącym obok infrastruktury IT. Jest jej częścią, wraz ze wszystkimi wynikającymi z tego konsekwencjami.