Misure di sicurezza in ambito NIS2 per dispositivi e applicativi Office Printing
Comprendere gli effetti sul processo produttivo è fondamentale
I dispositivi di stampa e multifunzione moderni sono sistemi connessi alla rete aziendale e, come tali, è opportuno considerarli all’interno del perimetro di sicurezza informatica dell’organizzazione. Konica Minolta mette a disposizione funzionalità e soluzioni che possono contribuire a rafforzare il presidio di sicurezza dei dispositivi di stampa, con particolare riferimento a controllo degli accessi, protezione dei dati, cifratura delle comunicazioni, audit degli eventi e monitoraggio delle configurazioni. Queste funzionalità devono essere valutate e configurate in coerenza con l’ambiente IT del cliente, con le policy di sicurezza adottate e con il livello di rischio individuato nell’ambito delle proprie valutazioni organizzative e tecniche.
Quadro normativo NIS2
La Direttiva NIS2, ossia la Direttiva (UE) 2022/2555, ha rafforzato il quadro europeo di cybersicurezza per i soggetti che operano in settori critici o rilevanti, introducendo obblighi più stringenti in materia di gestione del rischio, continuità operativa e notifica degli incidenti di sicurezza. In Italia la direttiva è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024, che attribuisce un ruolo centrale all’Agenzia per la Cybersicurezza Nazionale (ACN) e disciplina gli obblighi dei soggetti essenziali e importanti.
In tale contesto, NIS2 richiede l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi che possono colpire reti, sistemi informativi e servizi connessi, includendo anche aspetti quali gestione degli incidenti, continuità operativa e sicurezza della catena di fornitura. NIS2 disciplina, inoltre, la notifica degli incidenti significativi alle autorità competenti secondo tempistiche definite, al fine di assicurare una risposta tempestiva e coordinata. Tali principi trovano applicazione concreta anche nell'ambito dei dispositivi di stampa multifunzione, che è opportuno considerare come endpoint di rete da proteggere mediante autenticazione, configurazioni sicure, canali cifrati, adeguata capacità di registrazione degli eventi e misure supplementari di protezione del sistema quando richieste dal contesto operativo del cliente.
Perimetri di competenza nella catena di fornitura
Nel contesto della NIS2, Konica Minolta mette a disposizione prodotti, firmware, componenti software e servizi direttamente forniti o gestiti secondo il perimetro definito dalle caratteristiche tecniche dichiarate, dalla documentazione disponibile e dagli accordi contrattuali applicabili. Tali elementi possono contribuire al rafforzamento della sicurezza dei dispositivi di stampa e alla continuità operativa dei servizi supportati, nei limiti delle funzionalità disponibili, della configurazione adottata e delle attività effettivamente comprese nella fornitura. Rientrano in tale ambito, a titolo esemplificativo, le caratteristiche di sicurezza del dispositivo di stampa, la gestione delle vulnerabilità di competenza, il rilascio di aggiornamenti firmware o software, le informazioni tecniche e di sicurezza associate, nonché gli eventuali servizi di supporto o manutenzione previsti contrattualmente.
- Qualora il contratto sia sottoscritto direttamente tra il Cliente finale e Konica Minolta, rientrano nel perimetro contrattuale e operativo di quest’ultimo le attività e gli elementi espressamente inclusi nella fornitura e soggetti al proprio controllo. Restano in capo al cliente la corretta integrazione della soluzione nel proprio ambiente IT, la valutazione e la gestione complessiva del rischio, nonché l’adempimento degli obblighi NIS2 applicabili alla propria organizzazione in qualità di soggetto regolato.
- Qualora il contratto sia sottoscritto tra il Cliente finale e un Partner Konica Minolta, rientrano nel perimetro contrattuale e operativo del Partner le attività da esso autonomamente erogate, quali commercializzazione, installazione, configurazione, successivi aggiornamenti di propria competenza, servizi gestiti, assistenza di primo livello ed eventuali ulteriori integrazioni realizzate presso il Cliente. Rientrano invece nel perimetro di competenza di Konica Minolta il prodotto, il firmware, i software sviluppati o distribuiti e le relative informazioni tecniche e di sicurezza.
- Qualora il contratto sia sottoscritto tra il Cliente finale e un Partner Konica Minolta, rientrano nel perimetro contrattuale e operativo del Partner le attività da esso autonomamente erogate, quali commercializzazione, installazione, configurazione, successivi aggiornamenti di propria competenza, servizi gestiti, assistenza di primo livello ed eventuali ulteriori integrazioni realizzate presso il Cliente. Rientrano invece nel perimetro di competenza di Konica Minolta il prodotto, il firmware, i software sviluppati o distribuiti e le relative informazioni tecniche e di sicurezza.
Principali misure di sicurezza applicabili
Sulla base delle informazioni tecniche disponibili, le seguenti misure possono contribuire a rafforzare il presidio di sicurezza in ambito NIS2; la loro effettiva disponibilità e configurabilità deve tuttavia essere verificata in funzione del modello del dispositivo, della versione firmware installata e delle opzioni eventualmente abilitate:
- Attivazione dell'autenticazione a bordo macchina, mediante utenti locali o mediante soluzioni centralizzate di print management, in presenza di più dispositivi;
- Abilitazione della stampa sicura con autenticazione, anche tramite funzionalità incluse nel dispositivo o mediante soluzioni centralizzate di print management;
- Attivazione della crittografia dell'HDD o SSD del dispositivo e, sui modelli compatibili, della sovrascrittura dei dati temporanei;
- Protezione del canale di stampa attraverso certificato SSL/TLS sul dispositivo e utilizzo del protocollo IPPS in luogo del tradizionale socket TCP/IP in chiaro;
- Protezione del canale di scansione mediante protocolli cifrati, per l'invio e la gestione delle e-mail; ove necessario, ulteriore protezione del documento tramite PDF crittografato;
- Rafforzamento del monitoraggio delle impostazioni di sicurezza mediante strumenti dedicati di verifica dello stato delle configurazioni;
- Protezione anti-malware Bitdefender disponibile come configurazione evoluta, quale ulteriore presidio di sicurezza del dispositivo;
- Verifica dell’integrità del firmware e aggiornamenti di sicurezza, con controlli di integrità del firmware e possibilità di aggiornamento secondo modello, configurazione e servizi abilitati.
Configurazioni di sicurezza: dispositivo standalone e soluzioni evolute
Di seguito si riepilogano le principali configurazioni attivabili, da valutare in funzione del numero di dispositivi, dei modelli considerati, del livello di centralizzazione richiesto e delle esigenze del cliente.
AMBITO | CONFIGURAZIONE BASE SU DISPOSITIVO STANDALONE | CONFIGURAZIONE EVOLUTA / CENTRALIZZATA (OPZIONALE) |
|---|---|---|
Controllo accessi | Autenticazione locale al dispositivo tramite utenti registrati, password o altri metodi supportati. | Gestione centralizzata degli accessi e rilascio controllato delle funzioni tramite soluzione di print management, ove adottate. |
Gestione account e privilegi | Gestione locale di utenti, account e profili autorizzativi sul dispositivo. | Gestione centralizzata delle identità e delle policy di accesso tramite piattaforme di print management o directory integrate, ove previste. |
Stampa sicura | Funzioni di stampa protetta con autenticazione o rilascio del job al dispositivo, secondo le opzioni disponibili. | Secure print centralizzato tramite soluzione di print management, con rilascio autenticato del lavoro di stampa. |
Dati a riposo | Protezione dei dati memorizzati sul dispositivo tramite cifratura del supporto di archiviazione e, ove disponibile, sovrascrittura dei dati temporanei. | Medesime misure, inserite in un perimetro di governance più strutturato e coordinate con le policy del cliente. |
Dati in transito | Comunicazioni cifrabili tramite protocolli di sicurezza come SSL/TLS e, ove previsto, IPsec o IPPS. | Comunicazioni protette anche verso piattaforme di print management e servizi centralizzati, secondo l’architettura adottata. |
Scansione sicura | Supporto a canali e formati sicuri di scansione, inclusi protocolli e opzioni di cifratura configurabili sul dispositivo | Nelle soluzioni centralizzate o cloud, il canale di acquisizione e instradamento può essere gestito con policy di sicurezza e controllo più strutturate. |
Audit e log | Registrazione delle attività del dispositivo e dei job, con conservazione dipendente da modello, capacità e configurazione. | Le piattaforme centralizzate di print management possono estendere visibilità, raccolta e consultazione delle attività di autenticazione, stampa, copia e scansione. |
Controllo configurazioni di sicurezza | Verifica locale delle impostazioni di sicurezza del dispositivo da parte dell’amministratore. | Monitoraggio e segnalazione di variazioni tramite strumenti dedicati, ove implementati. |
Protezione anti-malware | Disponibile opzionalmente solo su dispositivi Multifunzione. Protezione da attacchi brute force di default. | Protezione anti-malware Bitdefender disponibile in specifiche configurazioni o soluzioni opzionali, ove supportata. |
Firmware e gestione vulnerabilità | Verifica di integrità del firmware tramite controlli hash e firma digitale; in modalità di sicurezza avanzata, anomalie di integrità possono impedire aggiornamento o avvio del dispositivo. | Aggiornamenti e gestione remota possibili tramite servizi e piattaforme Konica Minolta, di fleet management, se abilitati nel perimetro di esercizio. |
Precisazioni sul perimetro di applicazione
Alla luce dei punti sopra richiamati, le misure disponibili consentono di costruire un impianto di sicurezza coerente con gli ambiti richiamati dalla NIS2, in particolare per quanto concerne credenziali, controllo degli accessi, audit degli eventi e crittografia delle comunicazioni e dei dati, nonché ulteriori livelli di protezione del sistema in funzione delle esigenze del contesto.
Resta inteso che il livello di copertura effettivamente raggiunto dipende dalla configurazione adottata, dall'integrazione con le piattaforme di print management, dalle funzioni opzionali attive, nonché dalle policy complessive del cliente in materia di sicurezza e conservazione dei log.
Gestione del ciclo di vita e continuità operativa
Nell'ambito delle valutazioni di sicurezza e continuità operativa richiamate dalla NIS2, è opportuno che i dispositivi di stampa e multifunzione siano mantenuti costantemente aggiornati e gestiti lungo il loro ciclo di vita. La disponibilità di servizi di manutenzione e supporto può contribuire a garantire la tempestiva applicazione degli aggiornamenti firmware e delle misure correttive rese disponibili per la gestione delle vulnerabilità di sicurezza.
Le organizzazioni soggette a particolari requisiti di continuità operativa possono valutare con il fornitore l’affidamento dei servizi di assistenza e manutenzione a soggetti che garantiscano l’aggiornamento continuo dei dispositivi e livelli di servizio (SLA) coerenti con le esigenze operative e con i processi di gestione del rischio dell'organizzazione.