Aug
Īsā atbilde: jā, attiecas.MK noteikumi Nr. 397 nosaka prasības arī tīkla printeriem un MFP. Noteikumu 2.19.1. apakšpunkts definē tehnisko resursu kā aparatūru vai iekārtu, kas ir tīkla vai informācijas sistēmas sastāvdaļa vai IKT infrastruktūrā izmantota iekārta, kas veic datu apmaiņu ar informācijas sistēmu. Mūsdienu daudzfunkciju iekārta šai definīcijai atbilst bez interpretācijas. No tā izriet konkrēti pienākumi — sākot ar 30. punkta prasību iekļaut iekārtas IKT resursu katalogā.
Kāpēc par drukas iekārtām kiberdrošības kontekstā runā maz
Kiberdrošības sarunās organizācijās runā par serveriem, tīklu, gala iekārtām un e-pastu. Drukas iekārtas šajā sarunā parasti neparādās vispār — un tas ir saprotami. Printeris nešķiet sistēma. Tas šķiet biroja tehnika.
Tomēr mūsdienu daudzfunkciju iekārtai ir operētājsistēma, datu nesējs, tīmekļa administrācijas vide, lietotāju un administratoru konti. Tā saņem drukas darbus no informācijas sistēmām, sūta skenētus dokumentus uz failu serveriem un e-pastu, meklē adresātus Active Directory. Un daļa no šiem dokumentiem satur personas datus vai ierobežotas pieejamības informāciju.
Ko tieši nosaka normatīvais regulējums
„Tehniskais resurss ir aparatūra, iekārta, kas ir tīkla vai informācijas sistēmas sastāvdaļa vai IKT infrastruktūrā izmantota iekārta, kas veic datu apmaiņu ar informācijas sistēmu.”
MK noteikumu Nr. 397 2.19.1. apakšpunkts
Noteikumu 2.6. apakšpunkts papildina, ka IKT resursi ir tehnisko resursu un informācijas resursu kopums. Savukārt Nacionālās kiberdrošības likuma 1. panta 22. punkts tīklu un informācijas sistēmu definē cita starpā kā jebkuru ierīci vai savstarpēji savienotu ierīču grupu, kas atbilstoši programmai veic digitālu datu automātisku apstrādi.
No šīm definīcijām izriet 30. punkts, kas uzliek pienākumu apzināt un uzskaitīt visus īpašumā un valdījumā esošos IKT resursus, kas pakļauti kiberriskiem. Ne serverus. Visus. Un 31. punkts prasa katalogu aktualizēt ne vēlāk kā mēneša laikā pēc izmaiņām.
Cik prasību attiecas uz drukas vidi
Izanalizējām Nacionālās kiberdrošības likumu un MK noteikumus Nr. 397 no vienas šauras perspektīvas — kas no tā attiecas uz drukas iekārtām. Rezultāts:
| Skaitlis | Ko tas nozīmē |
|---|---|
| 52 | prasības no MK noteikumiem Nr. 397, kas attiecas uz drukas vidi |
| 17 | no tām bez centralizētas drukas pārvaldības nav izpildāmas ar citiem līdzekļiem |
| 10 | paliek organizācijas pusē neatkarīgi no tā, kāda programmatūra ir uzstādīta |
Kuras prasības skar drukas vidi vistiešāk
Autentifikācija un piekļuve
51.1. apakšpunkts nosaka, ka lietotājs var veikt darbības ar informācijas resursiem tikai pēc veiksmīgas autentifikācijas ar viņam piešķirto kontu. Iekārta, kas kopē un skenē ikvienam, kas pie tās pienāk, šo prasību neizpilda.
51.2. apakšpunkts prasa, lai sistēmkontiem būtu tikai funkcijai nepieciešamās tiesības. Tas ir tiešs trāpījums izplatītākajai kļūdai, kad skenēšana uz mapi konfigurēta ar pārāk plašu domēna kontu, kura parole glabājas iekārtas atmiņā.
Žurnālfaili
Šī ir prasību grupa, kur atšķirība starp „izpildīts slikti” un „nav izpildāms” ir vislielākā.
| Punkts | Ko prasa | Ko dod standarta iekārta |
|---|---|---|
| 57. | Glabāšana 18, 12 vai 6 mēnešus pēc drošības klases | Vietējo žurnālu, kas glabājas dienas vai nedēļas |
| 58.3. | Fiksēt neveiksmīgus piekļuves mēģinājumus | Parasti netiek fiksēti |
| 59. | NTP sinhronizētu laiku, iekārtas un lietotāja identifikatoru kombinācijā | Bieži bez lietotāja identitātes |
| 62. | Mašīnlasāmu formātu | Nav eksportējams |
| 63. | Aizsardzību pret dzēšanu | Pazūd pēc pārstartēšanas vai apkopes |
Šifrēšana
81.1. apakšpunkts prasa šifrēt A un B konfidencialitātes klases informācijas resursus pārraidē publiskajos datu pārraides tīklos, kā arī ārējos un iekšējos bezvadu tīklos. Drukas darbs ceļā no datora uz iekārtu ir tieši šāds resurss. 81.2. apakšpunkts A klasei pievieno šifrēšanu glabāšanā — tas attiecas gan uz drukas servera spool mapi, gan uz iekārtas disku.
Kam šīs prasības attiecas
Trīs lietas, kas pārsteidz gandrīz katrā sarunā:
- Valsts sektorā izmēra slieksnis neattiecas. Ministrija, aģentūra un pašvaldība ir būtisko pakalpojumu sniedzēji pēc statusa (likuma 20. panta 5. un 6. punkts) — neatkarīgi no darbinieku skaita.
- Valsts augstskolas arī ir būtisko pakalpojumu sniedzēji. Tās ir atvasinātas publiskās personas, tātad tām attiecas pilns prasību apjoms.
- Vienīgais šāda pakalpojuma sniedzējs Latvijā ir subjekts neatkarīgi no izmēra (20. panta 9. punkts).
Vidējiem un lieliem komersantiem 21. panta jomās — pasts, atkritumi, ķīmija, pārtika, ražošana, zinātne, apsardze — piemēro vieglāku režīmu. Bet žurnālfailu, autentifikācijas un šifrēšanas prasības attiecas vienādi.
Divi slāņi, kas nav savstarpēji aizvietojami
Praktiskais ceļš ir divos slāņos, un tos nedrīkst sajaukt.
Pirmais slānis ir iekārtu nostiprināšana: nevajadzīgo portu un protokolu izslēgšana, rūpnīcas administratora paroļu nomaiņa, SNMP v3, IP filtrs, cietā diska šifrēšana un pārrakstīšana, programmaparatūras atjaunināšana. To dara iekārtas pārvaldības saskarnē, un neviena programmatūra to neaizstāj.
Otrais slānis ir centralizēta drukas pārvaldība, kas dod identitāti, žurnālus, šifrēšanu un drošu izdruku. Bez tā septiņpadsmit prasību punkti paliek neizpildāmi neatkarīgi no tā, cik labi ir nostiprinātas iekārtas.
Organizācijai vajag abus. Tās nav alternatīvas — tās sedz dažādus caurumus.
Ar ko sākt
Pirmie trīs soļi neko nemaksā un neprasa nevienu pirkumu:
- Inventarizēt drukas iekārtas un iekļaut tās IKT resursu katalogā
- Noskaidrot, kādas klases informācijas resursus tās apstrādā
- Pārbaudīt konfigurāciju — servisus, paroles, pārvaldības piekļuvi
Ceturtais solis ir izvērtēt, kuras prasības drukas vidē šobrīd nav izpildāmas. Sadaļā Kiberdrošība drukas vidē ir divpadsmit jautājumi pašpārbaudei ar atsaucēm uz konkrētiem punktiem — atbildēt aizņem divas minūtes, un e-pasts nav jānorāda.
Biežāk uzdotie jautājumi
Vai MK noteikumi Nr. 397 tiešām attiecas uz printeriem?
Jā. Noteikumu 2.19.1. apakšpunkts definē tehnisko resursu kā IKT infrastruktūrā izmantotu iekārtu, kas veic datu apmaiņu ar informācijas sistēmu. Mūsdienu MFP apmainās ar datiem ar failu serveri, pasta serveri un katalogu pakalpojumu. No tā izriet 30. punkta pienākums to iekļaut IKT resursu katalogā.
Vai drukas pārvaldības ieviešana nodrošinās atbilstību likumam?
Nē. Tā izpilda daļu prasību — identitāti, piekļuves tiesības, žurnālus, šifrēšanu un drošu izdruku. Tīkla segmentācija, iekārtu konfigurācija, kiberhigiēnas apmācības un iekšējā dokumentācija paliek organizācijas pusē.
Mums jau ir drukas pārvaldības risinājums. Vai ar to pietiek?
Kategorijas jautājums tad ir atrisināts, bet paliek konfigurācijas jautājums. Trīs iestatījumi visbiežāk paliek noklusējuma stāvoklī: žurnālu glabāšanas termiņš, neveiksmīgo autentifikācijas mēģinājumu fiksēšana un drukas ceļa šifrēšana.
Cik ilgi jāglabā drukas iekārtu žurnālfaili?
Atkarībā no drošības klases: A klases sistēmām un tās nodrošinošajiem resursiem 18 mēneši, B klasei 12, C klasei 6 (MK 397 57. punkts).
Avoti
4PRINT piegādā un uztur Kyocera un Epson drukas iekārtas, MyQ un PaperCut drukas pārvaldības risinājumus un DocuWare dokumentu pārvaldības sistēmu. Plašāk par drukas pārvaldības risinājumiem un par kiberdrošību drukas vidē.