Bezpieczne drukowanie w firmie: drukarki, RODO i ochrona danych

Opublikowano: 24 sierpnia 2026 r. · Autor: Jan Chmielewski

Bezpieczne drukowanie w firmie nie kończy się na haśle do panelu drukarki. Trzeba chronić dokument w transmisji, w kolejce, na dysku urządzenia, przy skanowaniu i w chwili odbioru papieru. Najskuteczniejszy model łączy szyfrowane połączenia, imienne konta, kontrolę uprawnień, wstrzymanie zadania do uwierzytelnienia użytkownika, krótką retencję, aktualizacje oraz zasady fizycznego postępowania z dokumentami.

To ważne zarówno dla danych osobowych, jak i tajemnic handlowych, ofert, umów, danych finansowych czy dokumentacji projektowej. Informacja firmowa nie musi być daną osobową, aby jej ujawnienie wywołało stratę. Z drugiej strony zwykła lista obecności, CV albo faktura może zawierać dane osobowe nawet wtedy, gdy pracownik nie uważa dokumentu za „poufny”.

Dlaczego drukarka jest elementem bezpieczeństwa IT?

Nowoczesne urządzenie wielofunkcyjne ma system operacyjny, interfejs WWW, usługi sieciowe, pamięć operacyjną, a często również dysk lub pamięć flash. Odbiera pliki z komputerów i serwerów, tworzy obrazy skanów, korzysta z książki adresowej, wysyła pocztę albo zapisuje dokumenty na udziałach sieciowych. Rejestruje też metadane: użytkownika, czas, liczbę stron, nazwę zadania czy miejsce docelowe skanu.

Brytyjskie NCSC wskazuje, że urządzenia biurowe, w tym drukarki, mogą być punktem dostępu do sieci, a przejęte urządzenie może ujawnić treść drukowanych i skanowanych dokumentów. Typowe powierzchnie ataku obejmują firmware, panel WWW, usługi sieciowe, konfigurację domyślną i kanały komunikacji. Dlatego drukarki powinny znaleźć się w inwentaryzacji, procesie aktualizacji i monitoringu tak samo jak inne urządzenia sieciowe.

Droga dokumentu: gdzie naprawdę znajdują się dane?

1. Stacja robocza. Program i sterownik tworzą zadanie, które może trafić do lokalnego bufora wydruku. Nazwa pliku lub treść mogą pozostać w plikach tymczasowych.
2. Serwer lub usługa druku. Centralna kolejka identyfikuje użytkownika, przetwarza zadanie i kieruje je do urządzenia. W rozwiązaniu chmurowym dane mogą przejść przez infrastrukturę dostawcy.
3. Sieć. Dokument jest przesyłany pomiędzy komputerem, serwerem i drukarką. Nieszyfrowany protokół naraża treść oraz metadane na podsłuch lub zmianę.
4. Drukarka. Urządzenie renderuje strony, buforuje zadanie, może tworzyć miniatury i przechowywać pliki na dysku. Skanowanie generuje nową kopię danych.
5. Papier. Po wydrukowaniu żadne szyfrowanie sieciowe nie chroni dokumentu pozostawionego w podajniku, sali konferencyjnej czy ogólnodostępnym koszu.

Audyt drukowania powinien zatem odpowiadać nie tylko na pytanie „kto może drukować?”, lecz także: gdzie zadanie czeka, jak długo istnieje, kto je może odczytać, jak jest usuwane i jakie kopie powstają po drodze.

Drukarki a RODO: środki dobiera się do ryzyka

RODO nie zawiera osobnego katalogu ustawień dla drukarek. Artykuł 5 wymaga m.in. minimalizacji, ograniczenia przechowywania, integralności i poufności danych. Artykuł 25 odnosi te zasady do ochrony danych w fazie projektowania i domyślnych ustawień, a artykuł 32 nakazuje stosowanie odpowiednich środków technicznych i organizacyjnych z uwzględnieniem ryzyka. Wśród możliwych środków wymienia szyfrowanie, zdolność do zachowania poufności, integralności, dostępności i odporności oraz regularne testowanie skuteczności zabezpieczeń.

W praktyce firma powinna ocenić rodzaj dokumentów, liczbę użytkowników, położenie urządzenia, prawdopodobieństwo pomyłki i skutek ujawnienia. Drukarka w zamkniętym gabinecie zarządu ma inny profil ryzyka niż urządzenie na wspólnym korytarzu, z którego korzystają kadry, księgowość i goście. Dokumentacja medyczna, dane o wynagrodzeniach albo materiały objęte tajemnicą zawodową wymagają mocniejszych zabezpieczeń niż ogólnodostępna instrukcja.

Jeżeli nieuprawniona osoba odbierze lub zobaczy wydruk zawierający dane osobowe, zdarzenie może stanowić naruszenie ochrony danych. Administrator powinien je zarejestrować, ustalić zakres i odbiorców, ocenić ryzyko dla osób oraz wykonać dalsze obowiązki wynikające z sytuacji. Ten poradnik opisuje warstwę techniczną i organizacyjną; nie zastępuje indywidualnej analizy prawnej ani oceny inspektora ochrony danych.

Klasyfikacja dokumentów porządkuje zabezpieczenia

Bez klasyfikacji użytkownik nie wie, kiedy ma wybrać bezpieczny wydruk, a administrator nie wie, które urządzenie i kolejka wymagają mocniejszej ochrony. W małej firmie wystarczą zwykle cztery czytelne poziomy:

• publiczne — materiały przeznaczone do swobodnego udostępniania,
• wewnętrzne — dokumenty robocze, których nie należy pozostawiać osobom postronnym,
• poufne — umowy, finanse, dane klientów, strategie i informacje kadrowe,
• szczególnie chronione — dokumenty o wysokim skutku ujawnienia, w tym zależnie od działalności dane szczególnych kategorii, tajemnica zawodowa lub materiały o ograniczonym kręgu odbiorców.

Reguła może być prosta: dokumenty poufne i szczególnie chronione drukują się wyłącznie przez kolejkę z bezpiecznym zwolnieniem, a ich odbiór i zniszczenie są obowiązkiem wskazanego użytkownika. Klasyfikacja ma wpływać na działanie systemu, nie pozostawać etykietą w procedurze.

Szyfrowanie wydruków: trzy różne warstwy

1. Szyfrowanie podczas przesyłania

Połączenie pomiędzy komputerem lub serwerem a urządzeniem powinno korzystać z szyfrowanego protokołu, na przykład IPPS z TLS, jeżeli cała ścieżka i model drukarki go obsługują. Administrację należy prowadzić przez HTTPS, a do monitoringu preferować SNMPv3 zamiast wersji, które nie zapewniają porównywalnej ochrony. Niepotrzebne usługi — przykładowo Telnet, FTP, nieużywane LPD, bezpośredni druk RAW albo stare mechanizmy wykrywania — warto wyłączyć po sprawdzeniu zgodności środowiska.

TLS chroni dane w transmisji, ale nie zabezpiecza pliku pozostawionego w buforze, na serwerze lub dysku drukarki. Trzeba też weryfikować certyfikaty. Samo włączenie HTTPS bez kontroli certyfikatu może pozostawić użytkowników podatnych na połączenie z niewłaściwym urządzeniem.

2. Szyfrowanie danych zapisanych

Jeżeli drukarka lub system druku przechowuje zadania na dysku, warto wybierać i włączać szyfrowanie pamięci masowej. Należy sprawdzić, co producent faktycznie szyfruje, gdzie znajdują się klucze, co dzieje się po wymianie płyty lub dysku i czy istnieje udokumentowana procedura bezpiecznego kasowania. Szyfrowanie dysku nie usuwa potrzeby kontroli administratorów i retencji — zalogowany administrator albo działające urządzenie może nadal odczytać dane.

3. Ochrona po wydrukowaniu

Papieru nie da się zabezpieczyć TLS. Tutaj potrzebne są uwierzytelnienie przy urządzeniu, właściwe umiejscowienie drukarki, szybki odbiór, zamykane pojemniki na dokumenty do zniszczenia i zasada czystego biurka. W działach kadr, finansów lub prawnych uzasadnione może być osobne urządzenie w kontrolowanym pomieszczeniu.

Uwierzytelnianie i autoryzacja przy drukarce

Użytkownik powinien drukować z imiennego konta, a nie ze wspólnego profilu „biuro”. To pozwala przypisać zadanie, ograniczyć dostęp do wybranych kolejek i odebrać uprawnienia przy offboardingu. Przy urządzeniu można wykorzystać kartę lub identyfikator pracowniczy, kod PIN, logowanie katalogowe albo zatwierdzenie w bezpiecznym portalu — zależnie od produktu i oceny ryzyka.

Kod PIN jest lepszy niż natychmiastowy wydruk, ale nie może być wspólny dla całego działu ani wyświetlany w nazwie zadania. Dla administratorów potrzebne są odrębne konta, silne uwierzytelnienie i ograniczenie dostępu do panelu zarządzania z wybranej sieci. Domyślne hasła trzeba zmienić, a konta serwisowe dostawcy urządzenia udokumentować i ograniczyć czasowo.

Autoryzacja powinna rozdzielać funkcje. Nie każdy użytkownik potrzebuje skanowania do dowolnego adresu e-mail, dostępu do książki adresowej, drukowania poza firmą czy zmiany ustawień urządzenia. Kontrola grup i ról zmniejsza zarówno ryzyko błędu, jak i możliwość celowego wynoszenia danych.

Kolejkowanie i bezpieczne zwalnianie zadań

W modelu secure print, pull printing lub follow-me printing dokument nie trafia od razu na papier. Zadanie czeka w kontrolowanej kolejce, a użytkownik wybiera je dopiero po uwierzytelnieniu przy urządzeniu. W zależności od rozwiązania może zwolnić dokument na jednej konkretnej drukarce albo na dowolnym uprawnionym urządzeniu w firmie.

To ogranicza porzucone wydruki i pomyłki przy wyborze drukarki. Przykładem jest bezpieczne zwalnianie zadań w Microsoft Universal Print, gdzie zadanie może pozostać wstrzymane do potwierdzenia użytkownika przy urządzeniu, m.in. przez kod QR i portal. Nie jest to jedyna możliwa technologia — podobne mechanizmy oferują serwery druku i systemy producentów.

Dobrze zaprojektowana kolejka powinna:

• jednoznacznie przypisywać zadanie do użytkownika i właściwej organizacji,
• pokazywać użytkownikowi wyłącznie jego zadania,
• automatycznie usuwać niewydrukowane dokumenty po krótkim, uzasadnionym czasie,
• usuwać dane po poprawnym wydruku zgodnie z ustaloną polityką,
• nie ujawniać w nazwach kolejek i logach pełnych danych klienta czy tytułu poufnego dokumentu,
• bezpiecznie obsługiwać błędy, ponowienie i urządzenie niedostępne, bez przypadkowego wydruku po wielu godzinach.

Serwer kolejki również jest systemem krytycznym. Wymaga aktualizacji, ograniczonych uprawnień, monitoringu, kopii konfiguracji i testu odtworzenia. Kopia ustawień nie powinna jednak niepotrzebnie obejmować treści oczekujących dokumentów.

Sieć, firmware i panel administracyjny

Drukarki warto umieścić w wydzielonym segmencie sieci i dopuścić tylko potrzebny ruch: od serwera wydruku, stacji administracyjnych, systemu monitoringu, DNS, NTP oraz uzgodnionych usług skanowania. Urządzenie nie powinno być dostępne bezpośrednio z internetu. Reguły zapory ograniczają skutki przejęcia drukarki i utrudniają wykorzystanie jej jako punktu przejścia do serwerów lub komputerów.

Każde urządzenie powinno mieć właściciela, model, numer seryjny, adres, wersję firmware, termin wsparcia i historię zmian. Aktualizacje trzeba pobierać z zaufanego źródła, testować i wdrażać w zaplanowanym oknie. Jeżeli producent zakończył wsparcie, brak nowych poprawek jest ryzykiem, którego nie rozwiąże antywirus zainstalowany na komputerach.

Skanowanie, kopiowanie i wysyłka: najczęściej pomijana część

Urządzenie wielofunkcyjne tworzy dane również wtedy, gdy niczego nie drukuje. Skan do e-maila, folderu sieciowego, chmury albo systemu OCR powinien trafiać tylko do zatwierdzonego miejsca. Należy ograniczyć edycję książki adresowej, kontrolować odbiorców zewnętrznych i stosować osobne konto techniczne z minimalnymi uprawnieniami.

Jeśli skany przechodzą przez usługę chmurową, OCR lub analizę AI, firma powinna sprawdzić dostawcę, warunki przetwarzania, lokalizację danych, retencję i podwykonawców. Funkcja „scan to cloud” może być wygodna, ale stanowi nowy przepływ danych i nie powinna być uruchamiana wyłącznie dlatego, że pojawiła się po aktualizacji.

Panel urządzenia nie powinien wyświetlać historii skanów, adresów lub podglądów osobom postronnym. Warto też usunąć nieużywane wpisy i poświadczenia po odejściu pracownika oraz testować, czy błędnie zaadresowany skan nie pozostaje dostępny w kolejce.

Logi bez nadmiernego gromadzenia danych

Rejestry pomagają ustalić, kto drukował, kiedy, na jakim urządzeniu i czy zadanie zakończyło się poprawnie. Są potrzebne do diagnozy, rozliczania kosztów i analizy incydentu. Jednocześnie sama nazwa pliku może ujawniać dane, na przykład nazwisko, diagnozę albo numer sprawy.

Dlatego należy rejestrować tylko potrzebne metadane, ograniczyć dostęp do raportów i ustalić czas przechowywania. Treść lub miniatury dokumentów nie powinny być zachowywane „na wszelki wypadek”. Monitoring powinien obejmować przede wszystkim zmiany konfiguracji, logowania administratorów, błędy certyfikatów, nieudane aktualizacje, nietypowy ruch i urządzenia bez wsparcia.

Serwis, leasing i bezpieczne wycofanie drukarki

Technik serwisowy może uzyskać fizyczny dostęp do dysku, konfiguracji, dzienników i książki adresowej. Zakres dostępu, sposób zgłaszania prac oraz postępowanie z wymienianym nośnikiem powinny wynikać z umowy i procedury. Przed zabraniem urządzenia poza firmę trzeba ustalić, czy dane zostaną usunięte i jak firma otrzyma potwierdzenie.

NIST SP 800-88 Rev. 2 zaleca dobór metody sanitacji do wrażliwości informacji i rodzaju nośnika. Przed sprzedażą, zwrotem z leasingu lub utylizacją trzeba zidentyfikować pamięć urządzenia, usunąć zadania, książki adresowe, certyfikaty i poświadczenia, a następnie wykonać zweryfikowane czyszczenie, bezpieczne kasowanie lub zniszczenie nośnika. Reset fabryczny jest tylko krokiem konfiguracyjnym, dopóki dokumentacja konkretnego modelu nie potwierdzi, że właściwie usuwa dane użytkownika.

Jak Partnerhosted może pomóc zabezpieczyć drukarki?

Partnerhosted może objąć drukarki tym samym porządkiem, który stosuje się do pozostałej infrastruktury: inwentaryzacją, konfiguracją sieci, kontrolą dostępów, aktualizacjami, monitoringiem oraz dokumentacją. Zakres może obejmować analizę obecnych kolejek, wydzielenie segmentu sieci, ograniczenie paneli administracyjnych, konfigurację szyfrowanych połączeń, bezpiecznego zwalniania zadań oraz skanowania do zatwierdzonych miejsc.

Możemy też połączyć projekt z obsługą drukarek w ramach Help Desk IT, szerszym cyberbezpieczeństwem firmy oraz administracją serwerami i siecią. Celem nie jest włączenie wszystkich funkcji, lecz dobranie zabezpieczeń do dokumentów, użytkowników i realnego sposobu pracy firmy.