Seguridad de impresoras en red: lista para oficinas

La seguridad de impresoras en red se pasa por alto con facilidad porque las impresoras parecen electrodomésticos. En realidad, una impresora o multifunción de oficina es un ordenador conectado: ejecuta firmware, aloja una página web de administración, guarda trabajos de impresión y escaneo y a menudo contiene credenciales de correo y de carpetas compartidas. Esta lista cubre lo que una oficina pequeña debe configurar al instalar la impresora, mientras la usa y cuando la retira.

Por qué las impresoras son un objetivo

• Están siempre encendidas y rara vez se vigilan como los PC.
• A veces se deja la contraseña de administrador de fábrica.
• El firmware se actualiza con menos frecuencia que los ordenadores.
• Las multifunción guardan copias de documentos y credenciales de escaneo.
• Suelen tener activados protocolos antiguos por defecto.

Las vulnerabilidades de impresoras y software de impresión se publican en la base de datos nacional de vulnerabilidades del NIST, y algunas relacionadas con la impresión figuran en el catálogo de vulnerabilidades explotadas de CISA. El fallo del spooler de Windows conocido como PrintNightmare (CVE-2021-34527) es un ejemplo conocido en el lado del ordenador.

Al instalarla

1. Cambie la contraseña de administrador por una única y robusta guardada en su gestor de contraseñas.
2. Actualice el firmware a la última versión del fabricante y active las comprobaciones automáticas si existen.
3. Desactive protocolos y servicios que no use, como Telnet, FTP, versiones antiguas de SNMP, AirPrint o Wi-Fi Direct.
4. Active conexiones cifradas: HTTPS para la administración, IPPS (IPP sobre TLS) para imprimir y TLS para escanear a correo.
5. Use versiones actuales de SMB para escanear a carpeta, con una cuenta dedicada de pocos privilegios.
6. Restrinja la página de administración al personal de informática.
7. Ajuste la hora para que los registros tengan sentido.

Ubicación en la red

• Coloque las impresoras en un segmento de red o VLAN propio cuando sea posible.
• Permita solo el tráfico necesario: impresión desde las redes de usuarios, administración desde informática y escaneo hacia correo y servidores de archivos.
• No exponga las impresoras a Internet. Si se imprime en remoto, use un servicio de impresión seguro o una VPN.

Durante el uso

• Aplique parches a impresoras y servidores de impresión de forma periódica, como recomienda el NCSC para todos los dispositivos.
• Revise los registros de vez en cuando o envíelos a un sistema central.
• Use liberación segura para documentos de recursos humanos, finanzas, legal y clientes, de modo que solo se impriman cuando el propietario está delante del equipo.
• Cifre los datos almacenados y active la sobrescritura automática de trabajos terminados si el equipo lo permite.
• Revise las libretas de direcciones y destinos de escaneo para eliminar credenciales y destinatarios antiguos.

Personas y normas

Las medidas técnicas funcionan mejor con normas claras: dónde se pueden imprimir documentos confidenciales, que hay que recogerlos enseguida y cómo comunicar un documento perdido o un comportamiento extraño del equipo.

Cuando la impresora se va

Antes de vender, devolver al final de un alquiler, enviar a reparar o reciclar una impresora:

1. Borre libretas de direcciones, trabajos guardados y datos de usuarios.
2. Ejecute la función de borrado seguro o inicialización del equipo.
3. En equipos con disco duro o SSD, borre el almacenamiento con un método adecuado o retírelo y destrúyalo. NIST SP 800-88 describe los métodos de borrado, purga y destrucción.
4. Pida confirmación por escrito si lo hace un distribuidor o un proveedor de impresión gestionada.
5. Registre el equipo, la fecha y el método.

Comprar pensando en la seguridad

Al elegir equipos, pregunte si admiten firmware firmado, cifrado del almacenamiento, borrado seguro, cuentas de administración por roles y registros. Nuestra guía para elegir la mejor impresora de oficina incluye estos puntos.

Guías relacionadas

Dos tareas de esta lista tienen su propia guía. Para la parte de correo del escaneo, incluidas las versiones de TLS y la retirada de la autenticación básica por algunos proveedores, vea configurar escanear a correo en la impresora. Para el paso final, cuando el equipo sale de la oficina, vea borrar el disco duro de la fotocopiadora.

Lista en una página

• Contraseña de administrador cambiada y guardada de forma segura.
• Firmware al día y proceso de actualización acordado.
• Protocolos innecesarios desactivados.
• HTTPS, IPPS y escaneo con TLS activados.
• Impresora en su propio segmento y no expuesta a Internet.
• Liberación segura para impresión confidencial.
• Almacenamiento cifrado y sobrescrito cuando sea posible.
• Borrado realizado y registrado antes de retirar o devolver el equipo.