Skriversikkerhet: Det nye IT- imperativet. Forskning viser at den «unnselige skriveren» fremdeles ligger i sikkerhetens dødsone

Transkript

1 Skriversikkerhet: Det nye IT- imperativet Forskning viser at den «unnselige skriveren» fremdeles ligger i sikkerhetens dødsone

2 Innholdsfortegnelse Innledning Risikoene til virksomheten Et problem med oppfatning Gjeldende rutiner Veien mot omfattende skriversikkerhet: Om undersøkelsen

3 Innledning Etter hvert som IT-sikkerhetstruslene blir stadig mer avanserte, holder tiltakene for maskinvaresikkerhet ofte ikke tritt med utviklingen. Det er kanskje for skrivere at dette kommer tydeligst frem. Selv om IT-fagfolk i stadig større grad blir oppmerksomme på truslene som usikrede skrivere utsetter nettverket for, fortsetter skrivere å ligge i sikkerhetens dødsone, der de fleste av dem brukes med for lite beskyttelse. «Sårbarheter eksponeres i alle slags nettverkstilkoblede enheter, inkludert den unnselige nettverksskriveren», sier Ben Vivoda, direktør for utskriftssystemer ved HP South Pacific. «Vi ser ofte at skriveren blir glemt, oversett og stående utsatt til. Virksomheter kan ikke lenger ignorere utskrift når det gjelder helhetsstrategien for IT-cybersikkerhet.» 1 I henhold til nylige undersøkelser utført av Spiceworks, er faktisk skrivere kilden til en økende andel av sikkerhetstrusler. I dag er det 68 % mer sannsynlig at en skriver er kilden til en ekstern trussel eller et eksternt brudd en det det var i Det er også 118 % mer sannsynlig at den er kilden til en intern trussel eller et internt brudd. Samtidig erkjenner kun 30 % av IT-fagfolk at skrivere utgjør en sikkerhetsrisiko. Selv om dette antallet har doblet seg siden 2016, er det fremdeles for lavt og gjenspeiler en farlig virkelighet. Mange IT-fagfolk ser ut til å holde fast på et utdatert syn på skriversikkerhet, kanskje fordi de tror på den gamle oppfatningen om at skrivere er sikre innenfor nettverket. Selv for de IT-fagfolkene som kjenner til risikoen, er førsteprioriteten vanligvis å sikre mangfoldet av sluttbrukerenheter, så de lar skriverne stå vidåpne og nettverkene være sårbare. 2 Selv om det er forståelig at skriversikkerheten tidligere har blitt prioritert etter andre sluttpunkter, er det kritisk at ITorganisasjoner begynner å se på risikoene som usikrede skrivere utsetter deres overordnede IT-infrastruktur og den generelle risikostyringen for selskapet for. innledning 3

4 Risikoene til virksomheten Er skrivere virkelig et problem? Kort sagt, ja. I en tid der nye sikkerhetstrusler dukker opp hver eneste time, kan en skriver være et enkelt mål. «Moderne skrivere er i bunn og grunn avanserte og spesialiserte nettverksverter, og de må derfor gis samme grad av oppmerksomhet mht. sikkerhet som tradisjonelle datamaskiner», sier Kevin Pickhardt i Entrepreneur. 2 «Kontorskrivere er ikke bare potensielle kilder for datatap og konfidensialitetsproblemer, men angrepsvinkler som hackere kan utnytte.» Faktiske tilfeller: I fjor brukte etter sigende en hacker et automatisert skript for å få tilgang til offentlig tilgjengelige skrivere, inkludert et stort antall kvitteringskrivere, og kommanderte dem til å kjøre en ulovlig utskriftsjobb. 3 Bransjeanalytikerne er enige. I henhold til IDC: «De fleste skrivere har bred tilgang til et internt nettverk. Et angrep som kompromitterer en skriver, kan ha ubegrenset tilgang til organisasjonens nettverk, programmer og dataaktiva.» 4 Hvordan ser en ubeskyttet nettverksskriver ut? Den er ikke herdet, og står derfor vidåpen for en rekke nettverksprotokoller. Den krever ingen tilgangskontroller (man glemmer gjerne til og med å angi et administratorpassord). Den lar sensitive dokumenter skrives ut uten autentisering, slik at de kan vente i utskuffen hele dagen. Den sender ukrypterte data over nettverket. Den kjører utdatert fastvare eller overvåkes ikke for sikkerhetstrusler. Disse forskjellige sikkerhetfeilene vil ha konsekvenser. Gartner forutser at innen 2020 vil halvparten av alle prosjekter på Tingenes Internett (IoT) eksponere sensitiv informasjon grunnet manglende evne til å dra nytte av funksjoner for maskinvaresikkerhet, opp fra under 5 % i dag. 4 risikoene til virksomheten 4

5 Et problem med erkjennelse Selv etter denne forskningen ligger IT-fagfolk bak med å erkjenne risikoene skrivere kan utgjøre. I Nord-Amerika erkjenner ikke engang én av fire IT-fagfolk (22 %) at skrivere er en sikkerhetsrisiko, mens tallene i Europa, Midtøsten og Afrika (EMEA) bare viser så vidt over én av tre, på 35 %. Oppfattet nivå av sikkerhetsrisiko Skrivere 22 % 30 % 35 % 33 % Stasjonære/ bærbare PC-er 71 % 71 % 75 % 68 % Mobile enheter 67 % 68 % 69 % 64 % Totalt Nord-Amerika EMEA APAC Til sammenligning rangerte 71 % av IT-fagfolk at stasjonære og bærbare PC-er utgjør en trussel, og 67 % sa det samme om mobilenheter. et problem med oppfatning 5

6 Spiceworks-undersøkelsen viser i tillegg at IT-fagfolk som iverksetter forebyggende tiltak, har en veldig splittet tilnærming. Dette er ikke rart, når man tenker på bredden av sikkerhetskrav. Ingen enkeltløsning er tilstrekkelig; en brannmur, for eksempel, er ikke nok alene. Som med enhver nettverksenhet, må man se på skriversikkerheten fra flere innfallsvinkler. Som med enhver sikkerhetsstrategi, vil de mest effektive løsningene være integrerte, automatiserte og enkle å bruke og administrere. Det som forverrer utfordringen er at alle skriverprodusentene har sin egen proprietære programvare og operativsystemer. Mange IT-fagfolk har ikke tilstrekkelig kunnskap til å programmere skriverprogramvare til å tilfredsstille sikkerhetsretningslinjene. et problem med oppfatning 6

7 Gjeldende rutiner IT-fagfolk har en rekke tilnærminger til skriversikkerhet og oppretter sin egen blanding av sikkerhetsrutiner og -funksjoner, basert på verktøyene de har tilgjengelig og deres forståelse av disse. Generelt sett har vi nå fire typer tilnærminger til skriversikkerhet. Prosentandelen av respondenter som nå har følgende sikkerhetspraksiser på plass for skrivere 42 % Dokumentsikkerhet 31 % Enhetssikkerhet 40 % Nettverkssikkerhet 30 % Sikkerhetsovervåking 39 % Tilgangskontroll 28 % Databeskyttelse Forskningen viser at IT-fagfolk tar en rekke grunnleggende trinn for sikkerhet innen disse kategoriene, men dessverre i lave andeler. 25 % 25 % 25 % 24 % 21 % Lukking av ubrukte åpne porter Aktivering av «sendt fra»- funksjon Sikring av tilgang til reparasjon av skriver Implementering av personvernutskrift («pull») Rutinemessig tømming av skriverharddisker

8 Enda færre IT-fagfolk lar jobber utløpe eller tømmer dem på et planlagt vis, krever administratortilgang for å endre konfigurasjon, eller automatiserer sertifikatbehandling. IT-fagfolk utfører skriverovervåkning oftere enn de andre aktivitetene, men andelen er fremdeles lav kun 39 % av IT-fagfolk sier at de rutinemessig gjennomgår skriverlogger, og i Nord-Amerika er det kun 31 %. Når det gjelder tilkobling av skrivere til SIEM-verktøy, rapporterte kun 13 % at de hadde gjort dette. Mangel på overvåking av skriverlogger og integrering av skrivere med SIEM holder IT-fagfolk uinformert, uvitende om cyberkriminelle som kanskje bruker uovervåket infrastruktur til å skjule seg på nettverket og hente ut data. Skriverovervåkning 39 % 31 % 43 % 43 % 13 % 9 % 13 % 17 % Gjennomgå skriverens sikkerhetshendelseslogg Tilkobling til SIEM-verktøy Totalt Nord-Amerika EMEA APAC gjeldende praksiser 8

9 Forskningen viser andre geografiske forskjeller på spesifikke områder for skriversikkerhet, der Nord-Amerika igjen henger etter. Dette gjelder spesielt for tilgangskontroll og kryptering. Sammenlignet med sine kolleger i Nord- Amerika er det betydelig mye mer sannsynlig at IT-fagfolk i APAC krypterer data under overføring, krever brukerautentisering ved enheten og benytter tilgangskontroll basert på brukerens rolle. Distribuerte praksiser for skriversikkerhet Brukergodkjenning 42 % 54 % 59 % 61 % Krypter data som sendes 34 % 42 % 44 % 49 % Rollebasert tilgangskontroll 27 % 40 % 46 % 46 % Totalt Nord-Amerika EMEA APAC gjeldende rutiner 9

10 Og når det gjelder å oppfylle virksomheters personvernforskrifter, stoler ITfagfolk på flere tilnærminger, med noen skriverkontroller innordnet i den overordnede IT-samsvarsstrategien. Spiceworks-undersøkelsen spurte IT-fagfolk hvilke samsvarskontroller de har implementert, basert på Center for Internet Securitys CIS Controls V7. 5 Samsvarskontroller i bruk Maskinvare-/ programvareoppdateringer Fysisk sikkerhet Beskyttelse mot inntrengere Revisjonsanalyse og -rapportering Sårbarhetsvurderinger Systemintegritetkontroller Dokumentsikkerhetsprosesser Mottiltak ved ondsinnede angrep Disse dataene avslører at IT-fagfolk ofte ignorerer de mest grunnleggende sikkerhetsforholdsreglene for skrivere, som å oppdatere fastvare, der kun rundt én av tre har dette som en rutinemessig del av samsvarsaktivitetene. Dette sammenfaller med forskning innenfor bransjen. I henhold til IDC, blir skrivere vanligvis ikke oppgradert til den nyeste fastvaren, fordi organisasjoner ofte undervurderer risikoen.4 I tillegg har de kanskje ikke tiden som trengs for å gjennomgå, teste og godkjenne ny fastvare for hele skriverflåten. gjeldende praksiser 10

11 Veien mot omfattende skriversikkerhet: Av de 84 % av IT-fagfolk som rapporterte at de har retningslinjer for sikkerhet, sa kun 64 % at utskrift er inkludert i disse retningslinjene. For Nord-Amerika er dette tallet kun 52 %. Dette er én av grunnene til at det er så viktig å finne integrerte og automatiserte kontroller for skriversikkerhet og faktisk ta dem i bruk. Skrivere med innebygde sikkerhetsfunksjoner hjelper til å minimere risikoene dine samtidig som de gir mest verdi for IT-budsjettet. IDC-analytikerne fant også at dette var sant: «Skrivere er ofte mye vanskeligere å herde etter at de har blitt sendt, hvilket understreker viktigheten av å velge skrivere som allerede er rike på grunnleggende og avanserte sikkerhetsfunksjoner.» 4 Gartner sier at «For å utnytte den voksende dynamikken i skrivermarkedet må teknologiske strategiplanleggere bygge en omfattende portefølje av skriversikkerhetsløsninger ved å ta i bruk nivåer av sikkerhet som overgår sikkerhetsindustriens beste praksiser. Integrer så disse løsningene med de bredere økosystemene for sikkerhetsløsninger». 6 Leverandører av administrerte utskriftstjenester utvider tjenestene sine for å hjelpe til å dekke IT-avdelinger som ikke har personale med bred nok kunnskap til å takle skriversikkerhet. IDC sier at «Leverandører tilbyr et utvidet utvalg av beskyttelsestjenester på enhets- og datanivå, der mange er utformet for integrering i gjeldende systemer for dokument- og Enterpriseinnholdsstyring (ECM), for å levere ytterligere beskyttelse og takle problemer med styringsoverensstemmelse og samsvar med forskrifter». 7 Heldigvis for IT-fagfolk, tilbyr dagens avanserte skrivere flere titalls innebygde sikkerhetsfunksjoner for skriversikkerhetsporteføljen din, inkludert trusselpåvisning, beskyttelse, varsling og selvhelbreding, hvilket gjør det enklere enn noensinne å herde ett av de mest sårbare sluttpunktene på nettverket ditt den unnselige skriveren. Det er på tide å herde skriversikkerheten din. Finn ut mer mot omfattende skriversikkerhet 11

12 Om undersøkelsen HP bestilte en undersøkelse fra Spiceworks i mai Denne undersøkelsen var rettet mot IT-beslutningstagere, inkludert IT-direktører, IT-ledere og annet IT-personale, for å forstå gjeldende praksis for skriversikkerhet og identifisere risikoområder. Resultatene fra undersøkelsen inkluderer svar fra omtrent 500 deltagere i Nord-Amerika, EMEA og APAC som jobber for organisasjoner med 250 eller flere ansatte. Kilder 1 McLean, Asha, «Unsecured printers a security weak point for many organisations: HP», ZDNet, 18. april, Pickhardt, Kevin, «Why Your Innocent Office Printer May Be a Target For Hackers», Entrepreneur, 31. januar, Peyser, Eve, «Hacker Claims He Hacked 150,000 Printers to Raise Awareness About Hacking», Gizmodo, 6. februar, Brown, Duncan, et al., «IDC Government Procurement Device Security Index 2018», IDC, mai «CIS Controls», Center for Internet Security, mars Von Manowski, Kristin Merry og Deborah Kish, «Market Insight: IoT Security Gaps Highlight Emerging Print Market Opportunities», Gartner, 31. oktober Palmer, Robert og Allison Correia, «IDC MarketScape: Worldwide Security Solutions and Services Hardcopy 2017 Vendor Assessment», IDC, 2017.