Bezpieczeństwo danych na drukarce i urządzeniu wielofunkcyjnym — czego naprawdę pilnować

1. Co ta maszyna właściwie przechowuje

Kiedy kopiujesz umowę albo skanujesz teczkę pracownika, dokument nie znika po wyjściu kartki. Trafia najpierw do pamięci roboczej, a w wielu urządzeniach jest buforowany na wewnętrznym nośniku — na potrzeby kolejki druku, funkcji ponownego wydruku, skrzynek użytkowników, książki adresowej czy logów. W praktyce oznacza to, że obraz dokumentu może zostać na dysku znacznie dłużej, niż ktokolwiek zakłada.

Skala zależy od klasy sprzętu i ustawień. Jedne urządzenia trzymają dane do czasu nadpisania, inne kasują zadanie zaraz po wykonaniu, jeszcze inne przetwarzają wszystko wyłącznie w pamięci ulotnej. Nie ma jednej odpowiedzi dla wszystkich modeli. Zamiast pytać „czy drukarka jest bezpieczna", lepiej zapytać: co ten konkretny model zapisuje, gdzie i na jak długo.

2. HDD, SSD, eMMC, RAM — dlaczego typ nośnika zmienia zasady kasowania

To rozróżnienie brzmi technicznie, ale ma bardzo praktyczny skutek: metoda, która niezawodnie czyści dysk magnetyczny, potrafi zawieść na pamięci flash. Dlatego zanim ktoś powie „skasowaliśmy", warto wiedzieć, co jest w środku.

To ważne również przy porównywaniu ofert. Model przetwarzający dane wyłącznie w pamięci ulotnej ma zupełnie inny profil ryzyka niż taki z dyskiem archiwizującym zadania. Jedno nie jest z automatu „lepsze" — po prostu wymaga innych procedur.

3. Integralność oprogramowania: podpisany firmware i samonaprawa

Zanim w ogóle dojdziemy do danych na dysku, jest warstwa niżej — samo oprogramowanie urządzenia. Jeśli ktoś podmieni firmware, wszystkie pozostałe zabezpieczenia tracą sens. Dlatego poważni producenci pilnują, żeby maszyna uruchamiała tylko własny, niezmieniony kod.

Jak robi to Lexmark

Lexmark w swojej dokumentacji podaje, że firmware jest szyfrowany i cyfrowo podpisany, a urządzenie odrzuca oprogramowanie, które nie zostało poprawnie spakowane i podpisane przez producenta. Technologia Secure Boot sprawdza przy starcie, czy zainstalowany firmware jest autentyczny, a tzw. łańcuch zaufania prowadzi weryfikację integralności systemu nie tylko przy uruchomieniu, ale i w trakcie pracy. Aplikacje rozszerzające (platforma eSF) też muszą być podpisane przez Lexmark. W praktyce ma to utrudniać uruchomienie kodu, którego producent nie podpisał.

Jak robi to Sharp

W nowszych urządzeniach Sharp (platforma kontrolera serii BP) producent opisuje mechanizm samonaprawy: urządzenie monitoruje firmware i BIOS, a po wykryciu naruszenia integralności przywraca zaufaną wersję oprogramowania. Do tego dochodzi biała lista aplikacji i firmware — wykonać może się tylko zatwierdzony kod. W materiałach do generacji CR5.5 automatyczne odtwarzanie obejmuje już także BIOS, nie tylko firmware; wcześniejsze generacje miały to w węższym zakresie.

4. Urządzenie w sieci: mały firewall na pokładzie

Najczęstszy błąd, jaki spotykam, to potraktowanie drukarki jak mebla — wpięta do tej samej sieci co wszystko inne, czasem wręcz widoczna z zewnątrz. Tymczasem nowoczesne MFP mają na pokładzie sporo mechanizmów sieciowych, tylko trzeba je włączyć.

Lexmark w dokumentacji wymienia m.in. filtrowanie połączeń TCP/IP (dopuszczenie tylko wybranych adresów), konfigurowalne porty, uwierzytelnianie 802.1x przed dostępem do sieci, IPsec do szyfrowania ruchu oraz bezpieczne protokoły zarządzania (HTTPS, SNMPv3). W części modeli funkcje faksu są sprzętowo lub programowo odseparowane od sieci LAN, co ma ograniczać przejście ataku z linii telefonicznej do firmowej sieci. Do tego producent podaje ponad pięćdziesiąt szczegółowych ustawień kontroli dostępu.

Sharp z kolei opisuje filtrowanie adresów IP i MAC, włączanie i wyłączanie portów, wykrywanie prób włamań oraz wspomnianą już białą listę aplikacji. Zabezpieczenie komunikacji obejmuje SSL/TLS, IPsec, S/MIME i szyfrowany PDF, a urządzenie potrafi samo zweryfikować certyfikat serwera, z którym się łączy (to ogranicza podszywanie się pod serwer przy skanowaniu do chmury czy na e-mail).

Żadna z tych funkcji nie działa jednak „sama z siebie". Segmentacja sieci, reguły zapory na styku z internetem, poprawne wpięcie 802.1x — to robota do wykonania po stronie wdrożenia. Samo urządzenie daje narzędzia; ktoś musi je poprawnie ustawić.

5. Szyfrowanie danych — co realnie chroni, a czego nie

Szyfrowanie nośnika sprawia, że dane zapisane na dysku są nieczytelne bez klucza. Chroni to przede wszystkim przed jednym scenariuszem: ktoś wyjmuje dysk i próbuje odczytać go gdzie indziej. Lexmark deklaruje szyfrowanie danych na dysku kluczem AES o długości do 256 bitów, generowanym wewnątrz urządzenia i przechowywanym w sposób nieciągły — dzięki czemu zawartość dysku jest użyteczna wyłącznie na tym konkretnym urządzeniu. Sharp również opisuje szyfrowanie danych, ale w dostępnych polskich materiałach nie potwierdzono konkretnego algorytmu — parametry trzeba sprawdzić w karcie wybranego modelu.

Trzeba jednak jasno powiedzieć, czego szyfrowanie nie załatwia:

• Nie zastępuje kontroli dostępu ani wydruku poufnego — gdy uprawniony użytkownik jest zalogowany, dane i tak są dostępne w postaci jawnej.
• Jego skuteczność zależy od tego, gdzie i jak przechowywany jest klucz.
• Przy wycofaniu urządzenia najpewniejsze bywa kasowanie kryptograficzne — trwałe usunięcie klucza sprawia, że zaszyfrowane dane stają się bezużyteczne, bez potrzeby żmudnego nadpisywania.

Szyfrowanie chroni przed odczytem wyjętego dysku. Nie usuwa jednak danych i nie zastępuje tego, co trzeba zrobić przy zwrocie urządzenia.

6. „Skasowane" to nie „usunięte": clear, purge, destroy

Tu najczęściej rodzą się nieporozumienia. Usunięcie pliku albo przywrócenie ustawień fabrycznych zwykle porządkuje to, co widać — ale niekoniecznie sprawia, że danych nie da się odzyskać. Uznana klasyfikacja (amerykański standard NIST SP 800-88, do którego odwołuje się branża) rozróżnia trzy poziomy:

Producenci mają tu własne narzędzia. Lexmark opisuje wymazywanie dysku w trybie ręcznym, automatycznym i zaplanowanym oraz osobną funkcję Out-of-Service Wiping — kompletne czyszczenie urządzenia wycofywanego z użytku lub przekazywanego dalej; dokumentacja odwołuje się przy tym do standardów NIST/DOD (wartość, którą warto zweryfikować w pełnym dokumencie producenta). Sharp udostępnia funkcję Data Erase oraz inicjalizację danych prywatnych i danych w maszynie przy oddaniu urządzenia; w polskim materiale nazwa normy wymazywania jest niestety urwana, więc nie podaję jej z domysłu.

7. Najsłabszy moment: zwrot i wymiana urządzenia

Dopóki maszyna stoi u Ciebie, ryzyko trzyma w ryzach kontrola dostępu. Wszystko zmienia się w dniu, w którym sprzęt wyjeżdża za bramę — kończy się dzierżawa, przychodzi nowszy model, urządzenie jedzie do serwisu albo na utylizację. Nośnik z historią dokumentów trafia wtedy poza Twoją kontrolę.

Najgłośniejszy przykład to amerykańska sprawa Affinity Health Plan — dane medyczne pacjentów pozostały na dyskach kserokopiarek zwróconych firmie leasingowej. To przypadek spoza Unii, więc nie jest precedensem pod RODO, ale dobrze pokazuje, czym grozi zwrot urządzenia bez wcześniejszej sanitizacji nośnika.

8. Certyfikaty i normy — jak je czytać, żeby się nie naciąć

W materiałach marketingowych certyfikaty potrafią brzmieć jak pieczęć na całą ofertę. W rzeczywistości są bardziej precyzyjne — i właśnie dlatego trzeba je czytać uważnie.

Common Criteria to międzynarodowy standard oceny bezpieczeństwa, a dla urządzeń drukujących istnieje dedykowany profil ochrony (HCD-PP / HCD-cPP). Kluczowa rzecz: ocena dotyczy konkretnego modelu w konkretnej konfiguracji, nie marki jako takiej. Sharp wskazuje w materiałach modele oceniane lub certyfikowane według profilu HCD-cPP; status trzeba potwierdzić dla konkretnego modelu, wersji i konfiguracji. Lexmark również ma modele oceniane w ramach Common Criteria; w wybranych urządzeniach zgodność może wspierać opcjonalny moduł TPM — jego dostępność zależy od modelu i rynku. Nie podaję tu numerów certyfikatów ani list modeli — to rzecz do sprawdzenia dla konkretnego urządzenia, nie do uogólniania.

Wartościowym sygnałem bywa też niezależna weryfikacja. Sharp zlecił zewnętrzne testy penetracyjne swojej platformy kontrolera (walidacja Keypoint Intelligence, ogłoszona na początku 2025 roku), a Lexmark był wyróżniany nagrodą BLI PaceSetter za bezpieczeństwo dokumentów przez tę samą, niezależną pracownię. To nie to samo co certyfikat, ale pokazuje, że ktoś z zewnątrz realnie sprawdzał sprzęt.

9. RODO i NIS2 — co realnie obowiązuje

Urządzenie wielofunkcyjne przetwarza dane, więc mieści się w zakresie zarządzania ryzykiem. Ale regulacje działają inaczej, niż sugeruje część ulotek.

• RODO stawia na zasadę integralności i poufności (art. 5 ust. 1 lit. f) oraz obowiązek środków adekwatnych do ryzyka (art. 32). Przy wycofaniu sprzętu w grę wchodzi też prawo do usunięcia danych (art. 17). Nigdzie nie ma nakazu konkretnego algorytmu — liczy się adekwatność i rozliczalność.
• NIS2 wymaga zarządzania ryzykiem w całej infrastrukturze IT (art. 21). W organizacji objętej tymi wymaganiami urządzenia drukujące powinny być uwzględnione jako element sieci — z kontrolą dostępu, aktualizacjami, monitorowaniem i reagowaniem na incydenty.

Żadne urządzenie nie jest „zgodne z RODO". Zgodność zapewnia organizacja — przez konfigurację, procedury i dokumentację. Funkcje sprzętu są narzędziem, nie gwarancją.

10. Checklista: 12 pytań do dostawcy przed decyzją

Zestaw pytań, który realnie pomaga — przy zakupie, wynajmie i w specyfikacji zamówienia (OPZ/SWZ):

1. Jaki typ nośnika ma urządzenie (HDD/SSD/eMMC) i czy istnieje wariant bez trwałego dysku?
2. Które dane i jak długo są przechowywane na nośniku (kolejki, skrzynki, logi)?
3. Czy firmware jest cyfrowo podpisany, a start weryfikowany (Secure Boot / samonaprawa)?
4. Czy szyfrowanie nośnika jest włączone w standardzie, czy trzeba je aktywować?
5. Jakim algorytmem szyfrowane są dane i gdzie przechowywany jest klucz?
6. Jakie metody sanitizacji udostępnia urządzenie (secure erase, kasowanie kryptograficzne, wymazanie przy wycofaniu)?
7. Czy urządzenie wspiera uwierzytelnianie użytkowników i wydruk poufny?
8. Jak wygląda ochrona sieciowa na urządzeniu (filtrowanie IP, porty, 802.1x, IPsec)?
9. Jak dostarczane są aktualizacje bezpieczeństwa i jak długo model będzie wspierany?
10. Czy dla wybranego modelu istnieje ocena/certyfikat (Common Criteria) — z numerem i konfiguracją?
11. Jak wygląda procedura przy zwrocie lub wymianie i kto odpowiada za sanitizację nośnika?
12. Czy otrzymam pisemne potwierdzenie usunięcia danych — co zawiera i kto je podpisuje?

11. Rola INTRAX — i granice tej roli

Warto tu rozdzielić dwie rzeczy: funkcje producenta i naszą pracę. Bezpieczeństwo, o którym piszę wyżej, to w dużej mierze technologia Lexmarka i Sharpa. Naszą rolą jest dobrać urządzenie i dostępne ustawienia do wymagań, które wskażesz, wdrożyć je i serwisować.

Konkretnie:

• Przy zwrocie wynajmowanego urządzenia wymazujemy dane z nośnika, zanim sprzęt trafi dalej.
• Wdrażamy sformalizowany protokół sanitizacji wraz z pisemnym potwierdzeniem usunięcia danych — dokładnie taki, jak opisałem w tekście. To element, który obecnie porządkujemy, żeby był powtarzalny i udokumentowany.
• Dobieramy urządzenia i ustawienia pod kontrolę dostępu, wydruk poufny (np. systemem zarządzania drukiem PaperCut) i szyfrowanie danych — dopasowane do Twoich wymagań.
• Druk warto zabezpieczyć nie w oderwaniu, lecz w ramach pakietu bezpieczeństwa IT — razem ze stacjami, serwerami i siecią, pod jedną, spójną polityką. To usługa, którą prowadzimy dla klientów korzystających z naszej opieki IT; jeśli chcesz objąć nią również urządzenia drukujące, ustalimy zakres i formę współpracy.

I równie ważne — czego nie robimy. Nie sprzedajemy ani nie konfigurujemy antywirusa wbudowanego w samo urządzenie; to opcja producenta, którą trzeba oceniać osobno. Oferowany przez nas Bitdefender chroni stacje, serwery i urządzenia mobilne — to inny produkt niż moduł działający wewnątrz drukarki i nie należy ich mylić.