在DLP系統中,企業可以依據觸發的個資組合與筆數,而進行不同的管控。像是如果列印內容只有1到4筆個資,系統僅留下紀錄,但不發出任何通知;出現5到19筆個資,在使用者端會出現提醒、確認畫面;若出現20筆以上的個資,則阻擋列印並記錄事件。(圖為Websense DLP)

以企業自行印出的個資文件而言,企業應該針對業務流程,檢視個資文件是否有印出的需要,或是業務流程相關人員才可以印出這些文件,從源頭開始訂定員工、文件的列印權限,就像企業防護網路相關的資訊安全時,會針對電子郵件、即時通訊軟體、USB裝置等工具加以限制,降低人為疏忽或蓄意行為,同樣的,列印行為也應該納入管控之中。

從列印權限開始管制,可降低輸出至紙本後所衍生之後續管理問題。只是過去多數企業並未嚴格管制列印這一塊。

一般而言,企業有兩種的不同控管角度來做好印出前的管控,像是從列印設備為出發點,管控不同使用者的列印權限,另一種則是以檔案為出發點,透過機密文件管理系統(DRM)與資料外洩防護設備(DLP),來管控不同使用者的文件列印權限。

方法1- 列印設備功能權限控管
從列印設備的基本管控上來看,使用者身分的登入驗證工作是首道關卡,與帳號管理系統Windows AD、 LDAP等整合,是最基本可以驗證使用者身分的方式,也是企業常見的管控做法。

管理者可以針對使用者管控其列印權限,像是使用群組原則設定來控制在AD中的印表機,或是透過印表機設備上的IP 位址過濾功能,依個人電腦等設備的IP位址或MAC位址,設定存取權限,像是只允許IP位置範圍的電腦可以連線,以防止未經授權的使用者,任意使用列印設備印出具有機敏資料的文件。

此外,管理者也可以在列印伺服器上安裝列印管理系統,像是PaperCut、Print usage、MFP Charging、PrintSecurity或PrintQuota,並與帳號管理系統整合,即可針對使用者設定列印權限,同時也可以做到更多列印相關的控管。

只是,過去企業並不會限制列印的權限,通常是為了管控成本,防止濫印及印量限制才導入相關機制。但不論是印表機或複合機,針對不同員工設定各自的列印設備使用權限,都是管控的一種手段,管理者可從業務流程檢討列印行為的必要性,像是A使用者只能使用某臺印表機,B使用者不可使用任何列印設備。列印功能不能像過去處於開放、未管控的狀態。

而且,無論是一般單功能印表機,或是多功能複合機,都應該要有做到同樣的管控,才能做好紙本個資外洩預防的第一道關卡。

在個資文件的列印管控上,讓業務流程中需要列印的使用者,才可以具有列印功能,其他人員則視其他業務需求而彈性調整其權限。這樣的作法雖然感覺較嚴苛,使部分員工不能使用列印設備,但可以減少列印所產生的可能問題。

同時也應仔細評估各單位的工作流程,避免管控過嚴,造成工作流程上的麻煩,降低生產效益。

方法2- 透過DRM與DLP機制,讓含有個資的文件無法印出

針對個資文件或機密資料的列印管控,除了從列印設備上加以限制,也可以從檔案本身開始著手,禁止使用者擅自執行列印功能。像是有些企業將所有文件列印都由文管中心控制,而如果自行搭配文件管理系統(DRM)、資料外洩防護設備(DLP),也具有控管列印輸出的功能,可以限制文件的使用者與使用範圍,針對各文件檔案,設定不同職務使用者的閱讀、列印權限。

這樣的方式,可依據不同權職的員工設定存取權限,像是限制使用者只可以在電腦上檢視個資文件,但無法列印,而授權主管有開啟、列印這份文件的資格。讓個資文件在開啟前就已經被控管,或是透過遮罩的方式,減少個人資料檔案被印出的可能性。甚至,也要阻擋匯出、複製功能,避免資料內容被再製、印出。這樣的方式,也可以更精確地鎖定業務流程中,使用者對於個資文件的列印權限。

此外,由於這類產品已經提供個資盤點的功能,現在,針對列印行為,也有廠商提供可以即時過濾個資文件列印的機制。像是Websense DLP工具,便可以針對列印方面提供主動的管控方式。

只要在企業Windows系統的列印伺服器上,加裝DLP的Print Agent,便可記錄列印軌跡,而再搭配OCR技術,更是可以設定個資過濾條件。例如,當使用者印出超過設定個資數量的文件時,系統可以禁止文件被列印出,像是設定列印內容只有4筆以下的個資時,可以列印,但系統僅留下紀錄;若列印內容有20筆以上的個資,文件將無法列印出。

此外,系統也能夠自動針對列管的機密內容去演算偵測,使機密文件也能夠同樣受到保護。


Advertisement

更多 iThome相關內容