Организация и управление печатью. Решения для контроля за расходами и управления офисной печатью Большой Брат следит за тобой

Цели создания

Минимизация рисков утечки и потери данных при печати и копировании конфиденциальных документов.
Оптимизация расходов на печать и обеспечение эффективного использования оборудования.
Управление процессами печати и оптимизация документооборота.

Задачи, которые решает система

Безопасный вывод документов на печать и контроль копирования.
Безопасное хранение и обработка всех документов, отправленных на печать.
Централизованное администрирование системы и управление политиками печати.
Мониторинг информационных потоков и получение подробной статистики о пользователях и устройствах.

Растущее количество различных печатающих устройств существенно усложняет процессы обеспечения информационной безопасности внутри организации. Как правило, подразделения информационных технологий и безопасности почти не контролируют важную информацию в процессе и после завершения печати. Ошибки маршрутизации или потери документов при печати могут негативно повлиять на безопасность конфиденциальных данных даже при наличии внедрённых средств защиты информации на различных уровнях корпоративной сети. Очень важно, чтобы распечатку документа получил именно сотрудник, отправивший задание на печать, а не кто-то другой.

Печатные копии документов являются наиболее простым и удобным способом получения персональных данных (ПДн) для нарушителя. Согласно данным аналитического центра компании InfoWatch за 2013 год, основным каналом утечек ПДн уже не первый год остается бумажная документация.

Компания ЭЛВИС-ПЛЮС предлагает эффективное решение проблемы контроля и управления печатью. Предлагаемая система создается на основе продуктов производителей — лидеров в сегменте средств контроля и управления печатью — Ysoft , Ringdale и АРТИ .

Предлагаемые решения по выполняемым функциям можно условно разделить на 3 группы:

система контроля копирования CopySafe (АРТИ);
система контроля и управления печатью Принт-Контроль Про (АРТИ);
системы контроля и управления печатью и копированием SafeQ (YSoft) и FollowMe Printing (Ringdale).

Система контроля копирования CopySafe (АРТИ)

Система CopySafe предназначена для контроля доступа и получения информации о сеансах копирования документов. CopySafe позволяет получать образ копируемого документа и статистическую информацию о сеансе работы с устройством копирования.

Система представляет собой программно-аппаратный комплекс. Аппаратная часть включает устройство съема информации, встраиваемое в копировальный аппарат или МФУ и систему идентификации пользователя с помощью бесконтактной магнитной карты. Для неавторизованных пользователей функция копирования становится недоступной. При копировании документа параллельно со считыванием оригинала его цифровой отпечаток отправляется в архив (базу данных) и/или специалисту по безопасности, в зависимости от принятых в организации политик.

Ключевые функции CopySafe:

Управление доступом к функции копирования документов;
Формирование архива образов скопированных документов;
Возможность поиска документов по архиву для проведения служебных расследований и актуализации перечня конфиденциальной информации.

Система контроля и управления печатью Принт-Контроль Про (АРТИ)

Программное решение Принт-Контроль Про содержит набор инструментов по управлению, контролю и обеспечению безопасности печатного документооборота. Решение призвано минимизировать риски утечки информации в процессе её распечатки и оптимизировать расходы на содержание офисной техники.

Ключевые функции:

Сбор статистики с локальных и сетевых устройств печати.
Формирование архива образов отправленных на печать документов.
Возможность поиска документов по архиву для проведения служебных расследований.
Контекстный анализ содержимого печатаемого документа на наличие конфиденциальной информации.
Оповещение службы безопасности о печати документа, содержащего конфиденциальную информацию, лицом, не имеющим прав на печать такой информации.

Системы контроля и управления печатью и копированием SafeQ (YSoft) и FollowMe Printing (Ringdale)

FollowMe Printing и SafeQ — комплексные программно-аппаратные решения по управлению выводом документов на печать. Решения работают с печатающими устройствами любых производителей, а также имеют варианты исполнения в виде терминалов — МФУ со встроенным ПО и средствами аутентификации.

Ключевые функции:

Безопасность печати и копирования. Пользователь получает задания только после авторизации на печатающем устройстве.
Доступ к возможностям копира, факса и сканера также получают только авторизовавшиеся пользователи.
Учёт и квотирование. Система позволяет получать подробные отчеты об отпечатанных и скопированных заданиях.
Маршрутизация заданий и печать по правилам. Пользователь может получить свои задания на любом принтере, подключенном к системе, что снижает простой в случае выхода из строя оборудования.

Архитектура системы на примере решения FollowMe Printing представлена на рисунке:

Процесс печати при внедрении системы для пользователя не изменяется, задания на печать отправляются из любых доступных приложений. Задание отправляется на виртуальный сервер печати Q-Server и сохраняется там до тех пор, пока пользователь не авторизуется на одном из устройств с помощью персональной карты. Только после авторизации задания пользователя распечатываются на принтере.

Имя пользователя/пароль в домене MS Windows AD.
PIN-коды.
Бесконтактные карты (HID (I, II), EM-Marine, Mifare, iClass, Hitag, Cotag, Legic, Indala, ISO, Deister).
Магнитные карты.
Штрих-коды (QR).
Сканер отпечатков пальцев.

Выгоды от внедрения систем:

Повышение безопасности данных при печати и копировании конфиденциальных документов.
Снижение затрат на печать и копирование в организации и повышение эффективности использования оборудования.
Повышение эффективности работы подразделения ИБ компании.

Предположим, вы банк, нефтяная компания или просто параноик. Вам хочется, чтобы:

Уборщицы, враги и рептилоиды не забирали документы из принтеров.
Память принтера надёжно очищалась после печати.
Нецелевая печать отсутствовала.
Большие задания автоматически перенаправлялись на устройства с дешёвым отпечатком.
При отправке на печать задания 50 раз (как часто делает паникующий пользователь) выползало только одно.
Чтобы тексты фильтровались по стоп-словам, а картинки - распознавались и тоже не печатались, если содержат конфиденциальные данные (есть не у всех решений).
В редких случаях - ну и ещё чтобы в документах на лету слово «направо» заменялось на «налево» для введения потенциального противника в заблуждение.

Это дорого, но уже давно используется в финансовых учреждениях. Там печать выглядит так: вы отправляете задание на принт-сервер, он обрабатывает файл (если надо - посылает безопаснику на ручное согласование, но такая фича также есть не у всех решений), а потом отдаёт на определённый принтер только тогда, когда вы введёте пин и покажете свой отпечаток пальца непосредственно на устройстве, чтобы документ выпал вам лично в руки. Или не приложите свою смарт-карту вроде личного пропуска в здание.

Расскажу детальнее.

Занимательная статистика

По данным разных опросов и отчётов, за один рабочий день меньше 10 листов печатает около 20% сотрудников. 11–50 листов - 61% сотрудников, 51–100 листов - 12% сотрудников, больше 100 листов - 7% сотрудников. 70% опрошенных использует одну сторону листа, ≈50% участников опроса не беспокоит число печатаемых страниц (по данным ВЦИОМ). 40% распечаток могли бы быть напечатаны в дуплексе и ч/б (данные Nuance Communications).

Как работает система безопасной печати

Безопасная печать позволяет идентифицировать каждого пользователя и отдавать его распечатки только ему. При этом вам не важно, откуда пришло задание - вы можете отправить документ на печать из Петербурга, затем приехать на встречу в свой офис в Москве, ввести код на принтере (или авторизоваться по карте или биометрически) и получить его именно там, куда приехали. В идеале (если таймаут достаточен и политики безопасности позволяют так делать) получается примерно так:

В отличие от обычной печати происходит следующее:

Закупаются современные принтеры со встроенным софтом управления или МФУ (либо модули к имеющимся у вас железкам), которые обеспечивают идентификацию пользователей.
Все они объединяются в сеть под управлением принт-сервера, на который ставится одна из систем безопасной печати.
При отправке задания на печать оно попадает в систему безопасной печати. Потом DLP проверяет файлы (об этом чуть позже), а затем ждёт вашей аутентификации на одном из принтеров. Как правило, вы должны либо ввести пин, либо, в более серьёзных случаях, приложить свою RFID-метку (пропуск в здание) или палец к биометрическому считывателю.
После этого система печати убирает все следы документа из памяти принтера (в особенности если там используется HDD, где образы документа могут остаться и после неожиданного отключения питания).

Где и почему используется

Учитывая цену внедрения идентификаторов на принтерах, как правило, главная причина - безопасность, порой излишняя, превращающаяся в паранойю. Цена кусается: от 400 евро за комплект аутентификации на 1 устройство до 1000 евро в зависимости от типа считывателя. Плюс нужны контроллеры для старых принтеров и МФУ (новые в большинстве имеют поддержку прямо в операционке).

Вторая причина внедрения, как это ни странно, - экономия. В пятилетней перспективе так получается дешевле. Дело в том, что вместо того чтобы ставить отдельные принтеры в каждый кабинет, можно обойтись этажными МФУ и выводить весь поток на них, но зная, что каждый документ забирает лично сотрудник. К примеру, у нас на некоторых этажах реализовано именно так, и привязка идёт либо к пину задания, либо к RFID-метке пропуска в здание.

Если пользователь решил не приходить и не вводить пин, оно не будет выведено на печать.

Если пользователь запаниковал и отправил 30 одинаковых документов на печать, будет выведен один (ну или 30, если специально так настроить).

Как правило, безопасная печать исключает нецелевую печать. Учитывая тотальную идентификацию, у каждой «левой» распечатки есть ФИО.

Итоговый эффект - пропажа документов, которые пользователи отправляют на печать и забывают забрать (обычно таких до 20% в потоке), отсутствие повторной печати документов, резкое снижение печати личных документов, удешевление за счёт применения правил и условий перенаправления заданий на более производительные устройства, контроль цветной печати и принудительная конвертация в ч/б или на двустороннюю печать для определённых групп пользователей (типов документов, времени и т. д.), отчётность.

Большой Брат следит за тобой

Радость отдела ИБ в тотальном контроле:

Есть опция ручного подтверждения каждого документа (не у всех решений).
Есть полностью автоматический режим контроля утечек.
У отдельных решений есть режим подтверждения только вызывающих вопросы у робота документов.
Пользователь идентифицирует себя перед печатью.
Есть информация, кто, что, где, когда печатал.

Как правило, операции следующие:

На «крутых» интеграциях в самом начале составляется список стоп-слов (либо импортируется список фильтров из системы предотвращения утечек - всё это функции DLP). Всё то, что не должно быть выведено на печать в офисе, не будет выведено ещё на уровне принт-сервера, а для ИБ будет создано уведомление. Некоторые системы также могут обучаться методом указания документов, за которыми нужен контроль, - там либо простейшие нейросети по словам, либо не очень сложные эвристики.
Каждый документ сканируется на предмет соответствия фильтрам, причём информация собирается не только из текстовой части: всё то, что можно преобразовать к тексту, преобразуется. В особенности распознаются изображения, благо у ABBYY есть очень быстрый OCR-модуль, который своим качеством вызывает ряд вопросов о том, где ещё Большой Брат его использует уже за пределами корпоративного рынка.
При подозрительном документе или настроенном правиле контроля (по группам сотрудников, по длине документа и т. п.) производится ручной контроль. Принцип эскалации зависит от конкретного используемого ПО для сервера, настроек обычно много.
С документом могут выполняться автоматические преобразования: например, удаляться все фамилии, занижаться разрешение чертежей до 12 dpi, выдаваться случайные числа вместо финансовых показателей и т. п. Замена «право» на «лево» и «севера» на «юг» - не анекдот, у нас похожие ситуации были на практике. Эти решения очень редки и, как правило, очень специализированы.
Применяются политики печати: например, принудительный перевод в ч/б для этого пользователя, у которого нет прав на цветную печать. Самая частая политика - отправка документов свыше 100 страниц на принтер с самой низкой стоимостью отпечатка в офисе и отправка по почте уведомления пользователю об этом.
И, наконец, только после этого документ встаёт в очередь ждать прихода пользователя к принтеру и двухфакторной аутентификации. Из коробки поддерживаются AD Username/Password, PIN-коды, бесконтактные карты: HID (I, II), EM- Marine, Mifare, iClass, Hitag, Cotag, Legic, Indala, ISO, Deister, Paxton, обычные магнитные карты, штрих-коды и биометрические сканеры (отпечатки пальцев).

Опыт внедрения

В одной крупной нефтяной компании разрабатывалась система безопасной печати для удалённых офисов. Основной офис - в арендованном бизнес-центре. Здание большое, несколько этажей, система строилась централизованно сразу на все офисы. Интеграция такая, что где бы ни отправил - можно получить в другом городе в течение суток.

МФУ и принтеры размещались в принтерных комнатах, защищённых СКУД, но для большей безопасности ещё и использовались контроллеры доступа к МФУ с аутентификацией по бесконтактной карте.

Поскольку последним звеном утечки распечаток оставался мусорный бак, вместо них там поставили шредеры, способные перемолоть скрепки, жвачку и даже не очень крупные части человеческого организма. Но не зубы. С зубами надо было придумывать что-то другое.

Была настроена мобильная политика печати - когда сотрудник печатал с планшета или телефона, по Wi-Fi-роутеру находился этаж, и уже там задача отдавалась в очередь на ближайший принтер.

«Свои» устройства, включая мобильные, отличали по сертификатам на Wi-Fi (802.1x).

Парк апгрейдился от трёх разных наборов оборудования, закупленных слоями с разницей в несколько лет, причём от разных вендоров. Самый свежий слой поддерживал технологии аутентификации на уровне ОС устройств печати и МФУ, остальные потребовали специальных контроллеров.

Идею безопасной печати принесла ИБ, но больше всех радовались, кажется, финансисты - они смогли привязать все расходы на печать к конкретным подразделениям. Потом они ещё настроили подробные отчёты об отпечатанных и копированных заданиях и поставили лимиты для различных групп пользователей: запретили цветную печать части подразделений, ограничили для ряда пользователей печать документов больше 20 страниц и только по рабочим часам. Для одного из отделов настроили принудительную конвертацию в ч/б и принудительную двустороннюю печать.

Сисадмины тоже начали улыбаться, когда поняли, что теперь выход из строя принтера означал просто поход пользователя до другого без особых эксцессов. И истерик со срочной заменой уже не стало.

Ограничения (на примере FollowMe)

Из коробки работает с ОС:

Windows (начиная с Win95).
Apple Macintosh.
AS/400 iSeries.
LINUX/UNIX.
Другие ОС с поддержкой протокола LPR.

Есть интеграция с каталогами Windows Active Directory, Novell eDirectory, OpenLDAP.

Для решений, например, вендора Nuance нужен сервер со следующими параметрами: Windows 2003 Server SP2 (32/64 бит), Windows 2008 Server с пакетом обновления 1 (32/64 бит) или Windows Server 2008 R2 сервер (32/64 бит). Аналог Intel Xeon 64 по производительности, минимум 1 ГБ свободной оперативной памяти (рекомендуется минимум 4 Гб), 5 ГБ на HDD для буферизации печати работы и обработки данных (рекомендуется 10 ГБ). Если пользователи работают с OpenOffice и MS Office - нужны будут ещё инсталляции на сервере (в случае с MS это означает ещё одну лицензию).

На печать можно отправлять файл как обычным способом или через электронную почту, так и давать URL через корпоративный портал на страницу, которую нужно напечатать (этим часто пользуются для мобильной печати).

Ссылки

Список вендоров:
Ringdale - один из лидеров в технологиях печати, комплексное решение FollowMe позволяет компаниям снизить затраты на печать, повысить эффективность и безопасность печати (Ringdale FollowMe Printing);
Nuance - транснациональная корпорация, производитель программного обеспечения в сфере коммуникаций, распознавания речи и изображений, печати, решения: SafeCom и Equitrac ;
YSoft - европейская компания, специализируется на управлении доступом к печатным документам с использованием идентификационных карт и считывателей, SafeQ .
HP - ведущий мировой производитель оборудования и программного обеспечения, в частности печатной техники и систем печати, решения HP Access Control и HP Imaging and Printing Security Center ,
ThinPrint - хорошее решение на рынке по оптимизации печати, тесная интеграция с решениями ведущих мировых производителей технологий терминального доступа и виртуализации, реализация безопасной печати, Personal Printing ;
MyQ - европейская компания, специализируется на управлении печатью и безопасной печати с использованием технологий контроля доступа и распознавания символов OCR, решения ;
Арти - российская компания, в числе решений которой есть АСУПиМ, - автоматизированная система управления печатью и мониторинга, а также обеспечения безопасной печати с технологиями распознавания символов OCR, решения: АСУПиМ и PrintSafe .
Ubiquitech – разрабатывает целый перечень продуктов для интеллектуального управления печатью. Например, Ubiquitech EASY/VDMS Server – готовое серверное решение для управления печатью в SMB, HSPM/PSPM – серверное решение для управления печатью в крупных компаниях, Public Print solution - решение для организации платных услуг печати в библиотеках, аэропортах, гостиницах и т. д.
Моя почта - [email protected].

В организациях используется множество различных печатающих устройств и зачастую руководители компании не владеют точной информацией, какое количество устройств используется в компании, каковы объемы печати, затраты на расходные материалы и во сколько обходится обслуживание оборудования. Следствием этого являются неконтролируемые расходы на печать, сложности с поддержкой оборудования, отсутствие безопасной печати и нарушения основных бизнес-процессов. Для устранения существующих проблем используется система управления печатью.

Наша компания предлагает решение для интегрированной печати и управления сканированием uniFLOW.

uniFLOW представляет собой открытую модульную, единую платформу для управления процессами печати, копирования и сканирования, выполняемыми внутри организации с различных устройств.

Отслеживание затрат.

Система управления печатью имеет встроенную систему отчетности по общим расходам на печать, копирование и сканирование. Так можно точно узнать, сколько тратится, на уровне каждого пользователя, отдела или проекта и как возместить издержки или сэкономить.

Контроль печати документов. Безопасная печать, сканирование, копирование.

uniFLOW предоставляет пользователям возможность отправлять конфиденциальные документы на любой сетевой принтер и распечатывать их только тогда, когда пользователи находятся у принтера и сразу забирают отпечатанные копии. Это может быть принтер на другом этаже, в другом здании или городе. Благодаря данному решению можно быть уверенным, что документы, отправленные на печать, останутся в безопасности и не попадут в чужие руки.

Использование данной функции позволяет реализовать функцию печати на любом из подключенных к системе устройств только после авторизации пользователя. Для получения доступа к использованию устройства пользователи могут идентифицировать себя с помощью PIN-кода, имени пользователя и пароля, а также с помощью различных бесконтактных карт и отпечатка пальца. Пользовательские учетные записи синхронизуются по протоколу LDAP c Active Directory. Система позволяет регистрировать, захватывать и архивировать все операции по печати, копированию, сканированию и факсимильной связи на МФУ. Все захваченные с устройства изображения могут быть отправлены системой uniFLOW на сервер распознавания. При распознавании, система анализирует содержимое и осуществляет поиск по ключевым словам и уведомляет специалиста по безопасности, в случае обнаружения одного или комбинации из них. Библиотека ключевых слов составляется вручную администраторами.

Помимо обеспечения безопасности печати на сетевых устройствах появляется возможность избежать нецелесообразных расходов на печать. Например, большое количество напечатанных страниц не забирается пользователями с печатных устройств или отправляется на печать ошибочно и выбрасывается из лотков принтера.

Интеллектуальная маршрутизация.

ИТ-отделы организаций затрачивают довольно много времени на планирование инфраструктуры печати для пользователей. Различные устройства вывода приобретаются для различных потребностей отделов и размещаются в наиболее удобном месте. К сожалению, все эти усилия напрасны из-за несознательности пользователей, которые вне зависимости от объёма задания или требований к обработке печатают его на ближайшем устройстве. Если ближайший принтер предназначен для цветной печати, то каждое задание, отправляемое на этот принтер, будет печататься в цветном режиме, даже если такой необходимости нет – как, например, при распечатке электронного письма.

Система управления печатью позволяет администраторам установить контроль за инфраструктурой печати за счёт применения «правил» к заданию до начала его печати. Если задание соответствует правилу, оно автоматически направляется на подходящее устройство для выполнения или удаляется. Задания, соответствующие критериям переадресации, могут направляться руководителю для одобрения. Правила могут включать количество отпечатанных цветных страниц, число страниц в документе или его общую стоимость. Это позволяет избежать очередей заданий на настольных принтерах, вызванных печатью крупных заданий, а также обеспечивает экономичность благодаря центральному управлению объемами печати.

Сегодня в различных организациях установлены тысячи печатающих устройств, и зачастую руководители этих организаций не представляют ни точное их количество, ни объемы печати, ни стоимость содержания печатной инфраструктуры.

Отсутствие комплексной системы управления печатью влечет за собой:

неэффективное использование печатной техники и, как следствие, частые поломки;
неконтролируемые и непредсказуемые затраты на расходные материалы;
злоупотребление сотрудников печатью непрофильных документов;
нарушение политик безопасности при печати конфиденциальной информации.

Для решения задач контроля, управления и обеспечения безопасности офисной печати компания «Ай-Теко» предлагает использование автоматизированной системы управления печатью (АСУП).

Выгоды, получамые заказчиком от внедрения АСУП:

Снижение расходов на печать и повышение их прозрачности.
Экономия достигается за счет отказа от перепечатывания документов, снижения количества непрофильной печати, а также применения автоматических корпоративных политик печати. Снижение расходов от внедрения АСУП в среднем составляет 15-30%, но может достигать до 50% от общих затрат на печать.
Проактивный мониторинг состояния парка печатной техники.
Мониторинг состояния устройств печати позволит узнать о проблеме с принтером или МФУ еще до того, как с ней столкнулся пользователь. Кроме этого, пользователь может воспользоваться для печати соседним исправным устройством без каких-либо дополнительных манипуляций. Все это позволит сбалансировать нагрузку на службу поддержки и снизить негативный эффект от простоя оборудования.
Повышается общий уровень безопасности, особенно при печати конфиденциальных документов.
АСУП обеспечивает безопасность операций печати, копирования и сканирования за счет авторизации пользователей заданным способом на принтерах и МФУ. Возможен контроль содержания печатаемых документов и прав доступа пользователей к конфиденциальной информации с возможностью уведомления служб безопасности.
Повышается удобство и эффективность работы пользователей с оргтехникой.
Встроенное в АСУП управление сканированием позволяет пользователю получить результаты сканирования в один клик. За счет роуминга заданий печати, пользователи могут получить отправленные внутри организации на печать задания на любом принтере или МФУ, на котором они авторизовались. Также сотрудникам можно предоставить возможность осуществлять печать со своих смартфонов и других мобильных устройств.

Основной функционал АСУП:

Сбор статистики и построение подробных отчетов по операциям печати/копирования в разрезе пользователей и устройств печати;
Централизация управления и оптимизация процессов печати/копирования/ сканирования;
Повышение доступности сервиса печати;
Обеспечение безопасности процессов печати/копирования/сканирования;
Мониторинг устройств печати;
Формирование архива образов отправленных на печать документов;
Интеграция с внешними системами для автоматизированной печати (SAP, АБС и т.д.);
Ведение учета затрат на печать/копирование/сканирование в разрезе проектов и бизнес-подразделений;
Печать с мобильных устройств;
Многофакторная аутентификация;
Отказоустойчивая печать, распределение нагрузки между устройствами печати;
Оптимизация расхода тонера.