某單位發(fā)生了一起比較嚴(yán)重的泄密事件，導(dǎo)致在某次商務(wù)談判中失利。經(jīng)過內(nèi)部嚴(yán)格審查，發(fā)現(xiàn)是內(nèi)部人員將一份涉及商業(yè)機密的文檔泄漏給了競爭對手。按理說，公司的內(nèi)部安全管理比較嚴(yán)格，對內(nèi)外部的網(wǎng)絡(luò)入侵都進(jìn)行了精心的防范，對重要文檔也都進(jìn)行嚴(yán)格的加密和審核，怎么會讓機密文檔外泄呢？

在經(jīng)過調(diào)查后發(fā)現(xiàn)，問題出在了打印環(huán)節(jié)，有相關(guān)人員在打印文檔時，由于疏忽大意，讓別有用心的人輕松得到了企業(yè)的機密文檔。

從這一事件中不難看出，對企業(yè)的打印環(huán)節(jié)進(jìn)行必要的安全管理，對于保護(hù)企業(yè)的數(shù)據(jù)安全是極為重要的，而這又往往被人們忽視。

打印環(huán)節(jié)面臨的安全問題

說起網(wǎng)絡(luò)安全，大家都會想到黑客入侵、病毒滲透、木馬后門等“熱點”內(nèi)容。但是對于打印的安全就不以為然了。

實際上，隨著企業(yè)業(yè)務(wù)的發(fā)展，如何保護(hù)企業(yè)核心機密的安全以防止黑客進(jìn)行竊取，越來越成為大家比較關(guān)注的問題。于是，很多企業(yè)都實現(xiàn)了內(nèi)外網(wǎng)分隔的機制，通過配置防火墻，利用上網(wǎng)行為檢測、主動防御等設(shè)備，對進(jìn)出的流量進(jìn)行嚴(yán)格的控制。在企業(yè)內(nèi)部，通過使用殺毒軟件等安全軟件，來防范可能潛入的木馬病毒。對于內(nèi)部員工來說，會對其操作電腦的行為進(jìn)行管控，禁止進(jìn)行非法操作，例如隨意使用U盤等設(shè)備復(fù)制數(shù)據(jù)等等。

很多人認(rèn)為通過這些常見的安全手段，企業(yè)數(shù)據(jù)安全就可以高深無憂了。其實，在企業(yè)日常辦公場景中，經(jīng)常需要進(jìn)行打印操作，不管機密文檔經(jīng)過了多么復(fù)雜的加密措施，在進(jìn)行打印時總是需要顯示其真實內(nèi)容的。但是，對于打印管理來說，恰恰是很多企業(yè)最忽視的環(huán)節(jié)。

例如辦公人員隨意找一臺連接了打印機的電腦，之后打開Office等辦公軟件，對機密文檔進(jìn)行打印。在此期間，很多無關(guān)人員都可以接觸到打印機，甚至可以偷窺、拍攝或盜取打印的文檔。例如，相關(guān)人員暫時離開打印機后，有不法分子乘機盜走幾份資料，當(dāng)其返回后發(fā)現(xiàn)打印的內(nèi)容不全，也會毫不在意的多打幾份了事。

殊不知，機密信息已經(jīng)被人悄悄的泄漏出去了。企業(yè)對于打印安全的忽視，主要表現(xiàn)在打印的隨意性上，讓不法分子可以輕易接觸到打印資料。實際上，即使有專門的主機實現(xiàn)打印操作，不法分子也可以通過內(nèi)網(wǎng)滲透入侵的方法，來獲取該機的控制權(quán)（例如安裝后門等），這相對于外網(wǎng)滲透要簡單容易的多，當(dāng)相關(guān)人員將機密文檔復(fù)制到該機上后，不法分子就可以很輕松地利用后門來盜取文檔，還不會留下任何痕跡。

一些企業(yè)的安全措施實際比較強，會建立集中打印系統(tǒng)，以為這樣做就可以杜絕隱患。其實，在該環(huán)境中打印設(shè)備往往放置在單獨的房間中，并沒有專門的人員進(jìn)行看護(hù)。而辦公人員和打印設(shè)備距離比較遠(yuǎn)，而且集中打印會同時處理很多打印任務(wù)，往往在打印一段時間后相關(guān)人員才過去取打印資料。同時不同部門的打印資料往往堆積在一起，這就給了不法分子以可乘之機，使其可以潛入打印區(qū)域隨意盜取機密文檔。當(dāng)打印文檔使用完畢后，很多人都習(xí)慣于將其一扔了事，而沒有進(jìn)行徹底的銷毀，對于一些“有心人”來說，可以很輕松的從廢紙簍等地方找到包含機密信息的紙張，這對企業(yè)的數(shù)據(jù)安全威脅很大。

應(yīng)對打印安全問題的方法

面對以上和打印相關(guān)的安全問題，必須采用各種手段加以管控，對打印過程進(jìn)行監(jiān)控是非常好的一個辦法。

例如，對于集中打印系統(tǒng)來說，雖然無法為其配置專門的人員進(jìn)行守護(hù)，但是可以通過在打印區(qū)域設(shè)置監(jiān)控攝像頭的方法進(jìn)行全方面監(jiān)控，及時發(fā)現(xiàn)和排查隨意接觸和翻閱打印資料的可疑人員。對于集中打印機來說，往往都配置了比較高端的打印機，這些打印機都可以安裝諸如電子分頁器，多輸出紙盒、堆疊器、裝訂器等輔助配件，可以實現(xiàn)自動資料輸出、自動裝訂資料等。同時可以將不同部分的打印資料分類存放，便于進(jìn)行有效管理。

對于使用后的打印資料，最好使用專業(yè)的碎紙機進(jìn)行徹底粉碎，防止非法用戶通過拼接來獲取機密信息。一些企業(yè)為了實現(xiàn)更好的打印效果，會配置使用了熱升華技術(shù)的打印機/傳真機/復(fù)印機等，雖然其打印效果很好，但是會存在在碳帶上存留有打印痕跡的隱患，如果別人得到遺棄的碳帶，就可以根據(jù)碳帶上的這些潛影信息來了解打印的內(nèi)容。對于這類打印機來說，使用過的碳帶不要隨意丟棄。

對分散打印進(jìn)行集中監(jiān)控

對于大多數(shù)企業(yè)來說，往往是分散式打印操作。在很多部門都配置了打印機，作為網(wǎng)絡(luò)管理人員，如果想對網(wǎng)絡(luò)中打印機的使用情況進(jìn)行精確統(tǒng)計的話，采用手工記錄的方式就顯得費時費力。何況很多單位員工私用、濫用打印機的情況經(jīng)常發(fā)生，更重要的是由此可能引發(fā)的安全問題。打印機往往成為泄漏企業(yè)的重要數(shù)據(jù)的快捷通道，別人可以輕易的將敏感數(shù)據(jù)打印出來，在別人毫不知曉的情況下悄悄帶走。

為此可以使用iPrint、PrintShield、PrintUsage等專門的管控軟件，對其進(jìn)行集中控制。

這里以PrintUsage打印監(jiān)控系統(tǒng)為例進(jìn)行說明，其能夠?qū)钟蚓W(wǎng)中的任何一臺打印機或打印服務(wù)器進(jìn)行全面監(jiān)控和記錄，為網(wǎng)管人員提供詳細(xì)的打印監(jiān)控信息，甚至可以直接查看打印的內(nèi)容。從而合理的控制打印機的使用，不僅可以節(jié)省辦公成本，還能避免潛在的安全問題。

當(dāng)PrintUsage安裝完成后，會在系統(tǒng)中新建一個名為“PrintUsage Service”的系統(tǒng)服務(wù)。雙擊桌面上的“PrintUsage WEB管理站點”快捷圖標(biāo)，在瀏覽器中打開“打印管理登錄”頁面，輸入管理員名稱和密碼（默認(rèn)狀態(tài)下管理員名稱為“admin”，口令為空），登錄成功后進(jìn)入PrintUsage管理頁面，在左側(cè)的導(dǎo)航欄中點擊“服務(wù)器組”、“所有打印機”，在右側(cè)的“打印機列表”頁面中列出所有的打印機信息。

在PrintUsage初始運行狀態(tài)下，只顯示連接到本機的打印機信息。利用PrintUsage可以輕松管理局域網(wǎng)中所有的共享打印機。在打印機列表下部單擊“添加”按鈕，出現(xiàn)打印機添加向?qū)Ы缑?，在“添加打印機--選擇待添加的服務(wù)器”頁面中點擊“添加服務(wù)器”鏈接，在“添加服務(wù)器”頁面輸入其他服務(wù)器的名稱、IP和描述信息，完成服務(wù)器的添加操作。隨后在“服務(wù)器名”列表中選中合適的服務(wù)器名稱，點擊“下一步”按鈕，在“添加打印機”頁面中列出連接到該服務(wù)器上的打印機名稱，將其選中即可完成打印機的添加操作。按照這種方法，可以在“打印機列表”頁面中列出局域網(wǎng)中的所有共享打印機。

在左側(cè)的導(dǎo)航欄中點擊“服務(wù)器組”、“所有打印機”，在右側(cè)的“打印機列表”頁面中勾選對應(yīng)“受監(jiān)控”列中選擇框，就實現(xiàn)了對指定打印機的監(jiān)控。值得注意的是，在設(shè)置好打印機監(jiān)控功能之后，需要重啟服務(wù)。經(jīng)過設(shè)置之后，不管是本地打印機，還是局域網(wǎng)中的共享打印機，只要其處于PrintUsage監(jiān)控列表中，只要其執(zhí)行了打印操作，都可以在PrintUsage中直接查看到打印的內(nèi)容。

以管理員身份登錄PrintUsage打印管理窗口，在左側(cè)導(dǎo)航欄中點擊“日志”、“打印日志”，在右側(cè)窗口中就顯示出PrintUsage記錄的打印日志列表，包括用戶名、組名、計算機名稱、打印時間、打印機名、文檔名、內(nèi)容、狀態(tài)、頁數(shù)、份數(shù)、紙張等詳細(xì)的信息，使網(wǎng)絡(luò)管理人員對局域網(wǎng)中打印機的使用情況了如指掌。如果想單獨查看某一打印日志信息，在打印日志列表中對應(yīng)行的“文檔”中點擊“打印的文檔名”，就能打開更加詳細(xì)的打印報告窗口，使管理人員能更深入的了解該打印過程的狀態(tài)信息。

PrintUsage最強大的功能是可以記錄打印的完整內(nèi)容，并將其自動保存為Tif圖片格式。在需要查看的打印日志項目的“內(nèi)容”列中點擊“查看”圖標(biāo)，在彈出的文件下載對話框中點擊“打開”或“保存”按鈕，這樣就可以利用看圖程序打開該Tif文件，于是打印文檔內(nèi)容就全部顯示出來了。

為了避免其他人隨意使用PrintUsage，需要及時的更改管理員密碼。在左側(cè)的導(dǎo)航欄中點擊“設(shè)置”、“管理員設(shè)置”項，在列表中選中“Admin”用戶，點擊“重設(shè)密碼”按鈕，在彈出的密碼設(shè)置窗口中輸入新的密碼。當(dāng)然，也可以點擊“增加”按鈕，來添加新的用戶，同時還可以指定該用戶是否具有管理員權(quán)限。

為打印機加上“安全鎖”

對于較小的單位來說，會在某臺主機上連接打印機，實現(xiàn)專門的打印操作。在默認(rèn)情況下，任何人都可以執(zhí)行打印操作。

有時出于安全管理的需要，我們往往不希望打印機被隨意使用，那么，最好的辦法就是對其進(jìn)行鎖定處理。使用Port Locker軟件不僅可以鎖定打印機，而且可以禁用網(wǎng)絡(luò)連接和USB設(shè)備。Port Locker安裝完成后，會在系統(tǒng)中創(chuàng)建一個名稱為“Port Locker Service”的服務(wù)，可以跟隨系統(tǒng)自動運行，全程監(jiān)控打印機和USB設(shè)備的連接情況。

在系統(tǒng)托盤中右擊Port Locker圖標(biāo)，在彈出菜單中點擊“初始化向?qū)А表?，在向?qū)Ы缑嬷忻艽a設(shè)置界面中輸入密碼和提示信息，點擊“下一步”按鈕，即可自動鎖定所有的USB端口和打印機。當(dāng)別人在本機上執(zhí)行打印操作或者使用USB設(shè)備時，Port Locker即可進(jìn)行攔截。在自動彈出的認(rèn)證窗口中必須輸入正確的密碼，點擊“確定”按鈕后，才可以恢復(fù)打印機和USB設(shè)備的正常使用狀態(tài)。在Port Locker右鍵菜單上點擊“管理控制臺”項，輸入正確的密碼，進(jìn)入控制窗口。

在控制臺窗口左側(cè)依次點擊“裝置控制中心”、“智能鎖定裝置”項，在右側(cè)窗口中點擊“U盤”或者“打印機”圖標(biāo)，可以在激活和鎖定之間切換。在窗口左側(cè)點擊“安全鎖定裝置”項，在右側(cè)窗口中點擊“網(wǎng)絡(luò)連接”圖標(biāo)，可以激活或者禁用網(wǎng)絡(luò)連接。在窗口左側(cè)點擊“更改設(shè)置”項，在右側(cè)窗口中可以更改認(rèn)證密碼。

當(dāng)然，您可以隨時在Port Locker的右鍵菜單上點擊“解鎖所有裝置”項，輸入密碼后即可解除所有的鎖定操作。之后可以自由上網(wǎng)，連接USB設(shè)備，打印文檔等操作。在Port Locker右鍵菜單上點擊“鎖定所有裝置”項，可以立即執(zhí)行針對打印機，USB設(shè)備，網(wǎng)絡(luò)連接的鎖定操作。