Sicurezza delle stampanti: il nuovo imperativo del settore IT Una ricerca mostra che la "tipica stampante" costituisce un aspetto critico in termini di sicurezza

Sommario

Introduzione.................................................................................................... 3

I rischi per il business...................................................................................... 4

Un problema di percezione............................................................................. 5

Le prassi attuali...............................................................................................7

Verso una protezione completa delle stampanti..........................................11

Il sondaggio...................................................................................................12

Introduzione

Le minacce alle risorse IT sono in aumento, la sicurezza hardware spesso non riesce a tenere il passo. Le stampanti rappresentano l'ambito di maggiore criticità. Anche se i professionisti IT sono sempre più consapevoli dei pericoli che le stampanti non protette rappresentano per la rete, queste continuano a essere poco visibili e a costituire una criticità per la sicurezza, in quanto la maggior parte di esse opera al di sotto delle adeguate soglie di protezione.

"In tutti i tipi di dispositivi collegati in rete, inclusa la tipica stampante di rete, sono presenti potenziali vulnerabilità", afferma Ben Vivoda, direttore dei sistemi di stampa di HP South Pacific. "In genere, notiamo che la stampante viene trascurata e lasciata esposta. Quando si parla di strategia IT globale in materia di sicurezza informatica, le aziende non possono più permettersi di trascurare la stampa.”1

Infatti, secondo un recente sondaggio condotto da Spiceworks, le stampanti sono la causa di un numero crescente di minacce alla sicurezza. Oggi, una stampante ha il 68% di probabilità in più di essere all'origine di una minaccia o violazione esterna rispetto al 2016, e il 118% di probabilità in più di essere all'origine di una minaccia o violazione interna.

Tuttavia, solo il 30% dei professionisti IT riconosce che le stampanti rappresentano un rischio per la sicurezza. Mentre questo valore è quasi raddoppiato dal 2016, risulta tuttavia ancora troppo basso e riflette una realtà pericolosa. Molti professionisti IT sembrano avere una visione ormai antiquata sulla sicurezza delle stampanti, forse ancorati alla vecchia idea secondo cui le stampanti sono sicure all'interno del perimetro della rete.

E anche per i professionisti IT che riconoscono tale rischio, la priorità viene comunque data alla protezione dei numerosi dispositivi degli utenti finali, lasciando, quindi, le stampanti esposte e le reti vulnerabili.2 Sebbene sia comprensibile che in passato la sicurezza di stampa sia stata trascurata a beneficio degli altri endpoint, è fondamentale che il settore IT inizi ad affrontare i rischi che le stampanti non protette costituiscono per la loro più ampia infrastruttura IT e per la governance del rischio aziendale.

INTRODUZIONE 3

I rischi per il business

Le stampanti costituiscono davvero un problema? Assolutamente sì. In un'epoca in cui emergono costantemente nuove minacce alla sicurezza, una stampante può rappresentare un obiettivo facile da raggiungere. “Le stampanti attuali sono essenzialmente host di rete specializzati e avanzati, e come tali dovrebbero avere lo stesso livello di attenzione alla sicurezza dei computer tradizionali", afferma Kevin Pickhardt di Entrepreneur.2 "Le stampanti per ufficio non sono solo potenziali fonti di perdita di dati e di problemi legati alla riservatezza, ma vettori di attacchi che gli hacker possono sfruttare". Case study. L'anno scorso un hacker ha utilizzato uno script automatico per accedere a 150.000 stampanti di pubblico accesso (tra cui numerose stampanti di ricevute), facendo eseguire loro un job di stampa continuo.3

Gli analisti del settore sono concordi. Secondo IDC, “La maggior parte delle stampanti offre un ampio accesso a una rete interna. Un utente malintenzionato che compromette una stampante può ottenere accesso illimitato alla rete, alle applicazioni e ai dati di un'azienda." 4

Cosa caratterizza una stampante di rete non protetta? Essendo non protetta, rimane esposta a una vasta gamma di protocolli di rete. Non prevede controlli degli accessi (persino l'impostazione di una password amministratore è spesso trascurata). Permette di stampare documenti riservati senza autenticazione, e tali documenti possono rimanere nel vassoio di uscita tutto il giorno. Invia dati non criptati sulla rete. Esegue firmware

obsoleto o non viene monitorata per rilevare eventuali minacce alla sicurezza.

Tutte queste criticità generano conseguenze. Gartner prevede che, entro il 2020, oltre la metà dei progetti legati all'Internet of Things causerà l'esposizione di informazioni riservate a causa del mancato ricorso a funzionalità di sicurezza dell'hardware, mentre attualmente il valore è inferiore al 5%.4

4 II RISCHIO PER IL BUSINESS

Un problema di percezione

Stampanti

Desktop/laptop

Dispositivi mobili

Livello percepito di rischio per la sicurezza

22%

30%

35% 33%

71% 71%

75%

68%

67% 68%

69% 64%

Totale Nord America EMEA APAC

Nonostante quanto suggerito dalla ricerca, i professionisti IT non sono ancora molto reattivi nel riconoscere i rischi rappresentati dalle stampanti. In Nord America, nemmeno un quarto dei professionisti IT (22%) riconosce le stampanti come un rischio per la sicurezza. In Europa, Medio Oriente e Africa (EMEA) tale rischio è riconosciuto da poco più di un terzo dei professionisti IT (35%).

Viceversa, i professionisti IT classificano la minaccia rappresentata da desktop e laptop al 71% e la minaccia rappresentata dai dispositivi mobili al 67%.

5 UN PROBLEMA DI PERCEZIONE

La ricerca Spiceworks rivela inoltre che i professionisti IT che prendono misure preventive hanno adottato un approccio piuttosto discontinuo. Non c'è da meravigliarsi, considerando la vastità dei requisiti di sicurezza. Nessuna soluzione è sufficiente se attuata da sola; un firewall da solo non è sufficiente, per esempio. Come con qualsiasi dispositivo in rete, la sicurezza delle stampanti deve essere presa in considerazione da più punti di vista. E come per qualsiasi strategia di sicurezza, le soluzioni più efficaci sono quelle di tipo integrato, automatizzato e di facile utilizzo e gestione.

A peggiorare la situazione è il fatto che ogni marchio di stampanti dispone di un software proprietario e di propri sistemi operativi. Molti professionisti IT potrebbero non avere conoscenze sufficienti per configurare il software della stampante per soddisfare le policy di sicurezza aziendali.

6 UN PROBLEMA DI PERCEZIONE

Le prassi attuali

Percentuale di intervistati che al momento attua le seguenti procedure di sicurezza per le stampanti

Protezione dei documenti

Sicurezza della rete

Controllo degli accessi

Sicurezza dei dispositivi

Monitoraggio della sicurezza

Protezione dei dati

25%

Blocco delle porte aperte inutilizzate

25%

Abilitazione della funzione "inviato

da"

25%

Accesso sicuro alle stampanti in riparazione

24%

Implementazione della privacy di stampa ("pull

printing")

21%

I professionisti IT adottano numerose strategie volte a garantire la sicurezza delle stampanti, creando un mix personalizzato di procedure e funzionalità di sicurezza in base agli strumenti di cui dispongono e alla loro comprensione di tali strumenti. A grandi linee, tuttavia, le attuali strategie di sicurezza delle stampanti si possono ridurre a sei categorie.

La ricerca ha rivelato che i professionisti IT adottano una serie di misure di sicurezza di base all'interno di queste categorie, ma sfortunatamente con una diffusione molto limitata.

42%

40%

39%

31%

30%

28%

Cancellazione periodica dei

dischi rigidi della stampante

39% 31%

Monitoraggio della stampante

43% 43%

13% 13%

Controllo dei log degli eventi relativi alla sicurezza

Totale Nord America EMEA APAC

17%

Ancora meno professionisti IT fanno scadere o eliminano i job su base pianificata, richiedono l'accesso amministrativo per le modifiche alla configurazione o automatizzano la gestione dei certificati.

I professionisti IT stanno già eseguendo il monitoraggio della sicurezza delle stampanti più frequentemente rispetto ad altre attività, ma la frequenza è ancora bassa: solo il 39% dei professionisti IT afferma di revisionare regolarmente i log delle stampanti (solo il 31% in Nord America). Solo il 13% dei professionisti IT dichiara di avere attuato il collegamento delle stampanti agli strumenti SIEM. Il fatto di non monitorare i log della stampante e di non integrare le stampanti con gli strumenti SIEM mantiene i professionisti IT in una zona d'ombra, esposti al rischio di criminali informatici che potrebbero utilizzare un'infrastruttura non monitorata per nascondersi in una rete ed estrarne i dati.

8

Connessione agli strumenti SIEM

9%

LE PRASSI ATTUALI

Autenticazione degli utenti

Procedure di sicurezza implementate per le stampanti

42%

42% 34%

27%

44%

54%

49%

46%

59% 61%

Totale Nord America EMEA APAC

La ricerca rivela altre differenze geografiche in specifiche questioni della sicurezza delle stampanti, e anche in questi casi è il Nord America a risultare indietro. In particolare per quanto attiene ai controlli degli accessi e alla crittografia. I professionisti IT della regione APAC sono molto più propensi di quelli nordamericani a crittografare i dati in transito, richiedono l'autenticazione sul dispositivo e implementano controlli degli accessi in base al ruolo dell'utente.

9

Crittografia dei dati in transito

Crittografia dei dati in transito

46%

40%

LE PRASSI ATTUALI

Controlli di conformità in uso

Aggiornamenti hardware/software

Valutazioni delle vulnerabilità

Protezione fisica

Verifica dell'integrità del sistema

Protezione dalle intrusioni

Documentazione dei processi di sicurezza

Analisi e report di audit

Contromisure per attacchi dannosi

Infine, quando si tratta di soddisfare la conformità alle normative sulla riservatezza dei dati, i professionisti IT si affidano nuovamente a un approccio multiplo, in cui alcuni controlli delle stampanti sono inclusi nella strategia di conformità IT globale. Il sondaggio di Spiceworks ha chiesto ai professionisti IT quali controlli di conformità avessero implementato in base al "CIS Controls V7" del Center for Internet Security.5

I dati hanno evidenziato che i professionisti IT spesso trascurano le più elementari precauzioni di sicurezza delle stampanti, come ad esempio l'aggiornamento del firmware. Solo per un terzo di essi rappresenta un'attività di routine. La ricerca del settore concorda. Secondo IDC, le stampanti non vengono di norma aggiornate con il firmware più recente perché le aziende spesso sottovalutano il rischio del mancato aggiornamento.4 Inoltre, spesso non dispongono di tempo sufficiente per rivedere, testare e convalidare il nuovo firmware delle stampanti di tutto il parco dispositivi.

10 LE PRASSI ATTUALI

Per saperne di più

Verso una protezione completa delle stampanti

Dell'84% di professionisti IT che riferiscono di disporre di policy di sicurezza, solo il 64% afferma che la stampa ne fa parte. In Nord America, solo il 52%. Questo è uno dei motivi per cui è così importante implementare controlli di sicurezza delle stampanti integrati e automatizzati ed eseguirli realmente. Le stampanti con funzionalità di sicurezza integrate contribuiscono a ridurre i rischi e ottimizzano la spesa IT.

Gli analisti di IDC hanno inoltre rilevato che: "Le stampanti sono molto più difficili da proteggere una volta consegnate al cliente finale, questo sottolinea l'importanza di selezionare stampanti che siano già dotate di funzionalità di sicurezza, di base e avanzate." 4 Gartner afferma: "Per trarre vantaggio dalle dinamiche dei mercati di stampa emergenti, i planner di strategie tecnologiche devono creare un portfolio completo di soluzioni per la sicurezza di stampa utilizzando livelli che superino le best practice del settore. Devono integrare queste soluzioni con un ecosistema di soluzioni di sicurezza più ampio".6

I fornitori di servizi di stampa gestiti stanno ampliando la loro offerta a supporto dei reparti IT che non dispongono di personale sufficiente per gestire la sicurezza delle stampanti. Secondo IDC “I vendor offrono un'ampia gamma di servizi di protezione a livello di dati e dispositivi, molti dei quali vengono appositamente progettati per integrarsi con gli attuali sistemi di gestione documentale ed ECM (Enterprise Content Management), per fornire ulteriore protezione e risolvere i problemi di governance e conformità alle normative”.7

Fortunatamente per i professionisti IT, le stampanti presenti oggi sul mercato offrono numerose funzionalità di sicurezza integrate, adatte ai requisiti per la sicurezza di stampa dei clienti, tra cui rilevamento delle minacce, protezione, notifica e auto-riparazione, per rendere sempre più protetto uno degli endpoint più vulnerabili sulla rete: la stampante.

È ora di potenziare la sicurezza dei flussi dei job di stampa.

11 VERSO UNA PROTEZIONE COMPLETA DELLE STAMPANTI

Il sondaggio A maggio 2018 HP ha incaricato Spiceworks di condurre un sondaggio, rivolto ai responsabili decisionali del settore IT, tra cui quadri e manager IT, per comprendere le prassi attuali relative alle stampanti e identificare le aree di rischio. I risultati del sondaggio includono le risposte di circa 500 partecipanti in Nord America, EMEA e APAC che lavorano in aziende con almeno 250 dipendenti.

Fonti 1 McLean, Asha, “Unsecured printers a security weak point for many organisations: HP,” ZDNet, 18 aprile 2017.

https://www.zdnet.com/article/unsecured-printers-a-security-weak-point-for-many-organisations-hp/

2 Pickhardt, Kevin, “Why Your Innocent Office Printer May Be a Target For Hackers,” Entrepreneur, 31 gennaio 2018. https://www.entrepreneur.com/article/308273

3 Peyser, Eve, “Hacker Claims He Hacked 150,000 Printers to ‘Raise Awareness’ About Hacking,” Gizmodo, 6 febbraio 2017. https://gizmodo.com/hacker-claims-he-hacked-150-000-printers-to-raise-aware-1792067012

4 Brown, Duncan, et al., “IDC Government Procurement Device Security Index 2018,” IDC, maggio 2018.

5 “CIS Controls,” Center for Internet Security, marzo 2018. https://www.cisecurity.org/controls/

6 Von Manowski, Kristin Merry e Deborah Kish, “Market Insight: IoT Security Gaps Highlight Emerging Print Market Opportunities,” Gartner, 31 ottobre 2017 https://www.gartner.com/doc/reprints?id=1-4OCKFKG&ct=180110&st=sb

7 Palmer, Robert e Allison Correia, “IDC MarketScape: Worldwide Security Solutions and Services Hardcopy 2017 Vendor Assessment, IDC, 2017.