HP JetAdvantage Management White paper sulla sicurezza
Copyright e licenza 2015 Copyright HP Development Company, L.P. Sono vietati la riproduzione, l'adattamento e la traduzione senza previo consenso scritto, ad eccezione dei casi previsti dalle leggi sui diritti d'autore. Le informazioni contenute nel presente documento sono soggette a modifica senza preavviso. Le uniche garanzie per i prodotti e i servizi HP sono presentate nelle dichiarazioni esplicite di garanzia fornite in accompagnamento a tali prodotti e servizi. Nessuna disposizione del presente documento dovrà essere interpretata come garanzia aggiuntiva. HP non sarà responsabile per omissioni o errori tecnici ed editoriali contenuti nel presente documento. Numero di catalogo: c00000000enw Edition 2, 01/2015 Marchi Microsoft, Windows, Windows XP e Windows Vista sono marchi di Microsoft Corporation registrati negli Stati Uniti. Questo è documento riservato HP ed è considerato un'informazione proprietaria sensibile. Solo il personale autorizzato può visualizzare il presente documento. Sono inclusi: tecnici responsabili della gestione del parco dispositivi con Centri di gestione remota MS Personale di supporto ai clienti HP Singoli utenti che si occupano di manutenzione del sistema LES e che stanno pianificando ed eseguendo l'aggiornamento del firmware dei clienti Piloti: vari team e singoli utenti di HP che stanno valutando la soluzione HP JetAdvantage Management per lo sviluppo di programmi futuri
Sommario HP JetAdvantage Management... 1 HP JetAdvantage Management Un'applicazione di gestione del parco stampanti distribuita su cloud... 2 Architettura di HP JetAdvantage Management... 3 L'impegno di HP per la sicurezza... 4 Dati di HP JetAdvantage Management e dei clienti... 5 Storage dei dati di HP JetAdvantage Management (dati a riposo)... 5 Comunicazione di HP JetAdvantage (dati in movimento)... 5 Utilizzo e raccolta dati di HP JetAdvantage Management... 5 Partizionamento dei dati dei clienti... 7 Sicurezza dei dispositivi... 9 Appendice A HP JetAdvantage Management Connector... 11 iii
iv
Elenco delle figure Figura 1 Comunicazione dei dispositivi di HP JetAdvantage Management... 3 Figura 2 Gerarchia di tenant di HP JetAdvantage Management... 8 Figura 3 Gestione delle credenziali... 9 Figura A-1 Dettagli sulla connessione Internet di HP JetAdvantage Management Connector... 11 v
vi
HP JetAdvantage Management 1
HP JetAdvantage Management Un'applicazione di gestione del parco stampanti distribuita su cloud HP JetAdvantage Management è uno strumento di gestione basato su cloud per parchi di stampanti. HP Information Technology (IT) ospita HP JetAdvantage Management sull'infrastruttura di server nota come NGDC (Next Generation Data Center). L'applicazione è disponibile ai clienti mediante un portale ospitato su Internet, pertanto non è necessario scaricare o aggiornare alcun software client. Il portale è un'interfaccia basata su browser ed è accessibile da Chrome TM, Firefox o Internet Explorer versione 9, 10 o 11. Il cliente non deve caricare nessun software server a parte una leggera applicazione firmata HP e denominata HP JetAdvantage Management Connector che agevola la comunicazione tra i parchi dei dispositivi connessi in rete del cliente (stampanti e dispositivi multifunzione) e l'applicazione HP JetAdvantage Management. I load balancer di Internet gestiscono il flusso di traffico tra i browser client e HP JetAdvantage Management Connector da un lato e l'infrastruttura dell'applicazione dall'altro. Degli specifici membri del team IT di HP aggiornano i server che supportano l'infrastruttura assieme ai dati operativi e memorizzati. Non è necessario alcun aggiornamento da parte del cliente, ad eccezione della manutenzione degli host desktop che eseguono il browser e dei sistemi su cui è installato HP JetAdvantage Management Connector. Sicurezza di HP JetAdvantage Management I team IT e sviluppo di HP collaborano tra loro per proteggere la riservatezza, l'integrità, l'affidabilità e la disponibilità di tutte le risorse di HP JetAdvantage Management. Lo sviluppo di HP JetAdvantage Management include una strategia di sicurezza software conforme a un criterio di protezione globale di Hewlett-Packard e comprende le seguenti pratiche di sicurezza: formazione, progettazione, sviluppo, test/ controllo e distribuzione. 2 HP JetAdvantage Management
Architettura di HP JetAdvantage Management HP JetAdvantage Management è ospitato su server HP. Sia l'interfaccia utente (un portale basato su Web) che HP JetAdvantage Management Connector comunicano tramite Internet. La figura 1 mostra un FME HP (tecnico responsabile della gestione del parco dispositivi) che utilizza il portale di JetAdvantage Management mediante un'applicazione desktop su browser. L'FME interagisce con HP JetAdvantage Management, che comunica contemporaneamente anche con un parco di dispositivi attraverso il firewall di un cliente che utilizza l'applicazione HP JetAdvantage Management Connector. Il software HP JetAdvantage Management Connector può essere eseguito su un server del cliente o su un'appliance HP che ospita anche altre applicazioni di gestione. Nelle sezioni successive del presente documento vengono descritti i protocolli di comunicazione utilizzati per agevolare la gestione dei dispositivi basata su cloud L'infrastruttura di HP JetAdvantage Management consiste in più server (noti anche come stack) che comprendono parti operative del sistema complessivo. Alcuni componenti principali del sistema in funzione sono i load balancer, i server applicativi, i server del traffico XMPP, i server dell'applicazione HP JetAdvantage Management e l'infrastruttura di database. HP Passport e/o l'accesso dipendenti HP autenticano l'accesso dell'identità dell'utente all'interfaccia del portale, mentre una procedura di registrazione con chiave stabilisce una comunicazione sicura tra gli strumenti di connessione dati e l'applicazione. I dati dei clienti sono al sicuro in un'infrastruttura di database e le informazioni sensibili sono crittografate mediante pratiche standard descritte più avanti in questo documento. NOTA: per maggiori informazioni, consultare "Appendice A HP JetAdvantage Management Connector" a pagina 8 oppure leggere le note di HP JetAdvantage Management Connector. Figura 1 Comunicazione dei dispositivi di HP JetAdvantage Management Architettura di HP JetAdvantage Management 3
L'impegno di HP per la sicurezza Test: HP esegue test sul software HP JetAdvantage Management mediante modalità manuali, pratiche e automatizzate su ciascun elemento software per garantire qualità e integrità. Autenticità: il file eseguibile del programma di installazione di HP JetAdvantage Management Connector è firmato. Una volta installato e in esecuzione, HP JetAdvantage Management Connector utilizza un'identità e una password per autenticare ogni comunicazione con HP JetAdvantage Management. Scansione delle vulnerabilità e analisi di altri rischi: HP utilizza una serie di strumenti standard del settore per controllare HP JetAdvantage Management durante lo sviluppo. Test indipendenti: HP adotta sia test interni che test di controllo di terze parti per verificare/risolvere le vulnerabilità e altri problemi di sicurezza nel software HP JetAdvantage Management. I test includono la scansione per verificare la presenza di vulnerabilità della sicurezza di HP JetAdvantage Management in riferimento ai principali difetti del settore segnalati da diverse organizzazioni tra cui OWASP, SANS, NIST e MITRE. I test indipendenti sono estesi e riguardano le seguenti aree: Iniezione di SQL Gestione delle sessioni Difetti logici di business Iniezione di script Pratiche di sicurezza HP: I team IT di HP monitorano HP JetAdvantage Management costantemente, tutti i giorni della settimana. I ticket di supporto registrati con questi team IT vengono presi immediatamente in considerazione. HP fornisce ridondanza nel sistema per predisporre difese contro la perdita di dati. I team IT di HP eseguono backup con cadenza regolare e dispongono di una pianificazione di ripristino documentata in caso di eventi irreversibili. In caso di individuazione di rischi HP rilascerà dei bollettini sulla sicurezza, come pratica standard. Per ricevere i bollettini sulla sicurezza di HP, è necessario registrarsi agli avvisi su driver, supporto e sicurezza su hp.com/support Peer review e corsi di formazione regolari da parte di sviluppatori sulla base delle istruzioni di sulla sicurezza informatica sviluppate da HP. HP JetAdvantage Management è all'interno di un ambiente server strutturato su più livelli e ospitato in una struttura fisica di data center HP sicura. Controllo: HP JetAdvantage Management registra le azioni per ciascun utente man mano che vengono completate. Anche le azioni sui dispositivi vengono registrate. È possibile richiedere i registri di controllo per qualsiasi cliente o utente di HP JetAdvantage Management mediante un'escalation del supporto al team di tutela dei clienti di HP. 4 HP JetAdvantage Management
Dati di HP JetAdvantage Management e dei clienti I dati dei clienti vengono trasmessi verso e da HP JetAdvantage Management e sono inoltre memorizzati in modo sicuro nell'infrastruttura di server. Storage dei dati di HP JetAdvantage Management (dati a riposo) I dati vengono scritti su e recuperati da alcuni database di HP JetAdvantage Management con chiave in un'infrastruttura di server multi-livello. HP JetAdvantage Management utilizza server di database predisposti che comprendono servizi di backup. Tutti i dati sensibili (le password e le identità degli account per utente e strumento di connessione, nonché le credenziali dei dispositivi) sono crittografati e memorizzati nel database. NOTA: le password dell'account utente sono conservate e autenticate tramite gli account HP Passport. Qualsiasi altra informazione su dispositivi o clienti ritenuta sensibile verrà altresì crittografata di pari passo con l'espansione della libreria dati di HP JetAdvantage Management. I team di sviluppo di HP analizzano regolarmente algoritmi di crittografia, funzionalità di autenticazione e registrazione, nonché standard di sicurezza del settore. Nessuna informazione sul parco dispositivi del cliente, al di fuori di alcuni registri di localizzazione dello strumento di connessione, viene memorizzata nell'hp JetAdvantage Management Connector ospitato sulla rete del cliente. Comunicazione di HP JetAdvantage (dati in movimento) HP JetAdvantage Management utilizza SSL/TLS standard del settore per fornire protezione durante la trasmissione o ricezione dei dati. Questa procedura è nota anche come comunicazione HTTPS, ovvero una comunicazione HTTP su SSL/TLS che utilizza un certificato X.509 di autenticità e crittografia. Il certificato serve a stabilire un'attendibilità univoca tra i client e il server di HP JetAdvantage Management. I client considerano attendibile il server se il certificato del server è valido. Una volta avviata la negoziazione HTTPS e iniziata la comunicazione verso/da HP JetAdvantage Management, le informazioni attraversano la rete in modalità crittografata. HP utilizzano un certificato server sicuro di classe 3 firmato da VeriSign con una chiave RSA a 2048 bit. Utilizzo e raccolta dati di HP JetAdvantage Management Tutti i dati raccolti da HP sono protetti per ciascun proprietario in base all'informativa online sulla privacy HP. La privacy dell'azienda è la nostra priorità. HP JetAdvantage Management è utilizzato da HP e dai nostri rivenditori autorizzati per aiutare a gestire il parco stampanti e dispositivi multifunzione dei clienti. HP JetAdvantage Management non ha accesso ai contenuti di ciò che i dipendenti dell'azienda del cliente stampano o ai documenti memorizzati dell'azienda del cliente. HP non acquisisce o memorizza registri di dispositivi con informazioni su utenti e processi. HP non venderà, trasferirà o cederà alcuna informazione senza il consenso esplicito dell'azienda. HP conserva i dati dei clienti di HP JetAdvantage Management per 10 anni dalla disattivazione dell'account da parte dei clienti o di HP. Dopo la disattivazione dell'account, i dati dei clienti vengono conservati esclusivamente negli archivi dati di HP JetAdvantage Management e non sono visibili al di fuori di HP. HP acquisisce i seguenti dati: Dati di HP JetAdvantage Management e dei clienti 5
Dati di registrazione del software HP JetAdvantage Management Connector Nome Cognome Indirizzo e-mail Numero di telefono Nome host IP di HP JetAdvantage Management Connector Indirizzo IPv4 di HP JetAdvantage Management Connector Dettagli del proxy Web di HP JetAdvantage Management Connector (ove applicabile) Come HP utilizza questi dati HP memorizza questi dati sull'applicazione HP JetAdvantage Management per consentirne l'utilizzo al fine di identificare l'installazione del software e agevolare le comunicazioni necessarie per garantire il corretto funzionamento del software. Per consentire ad HP di fornire servizi di gestione ospitati su cloud, il software HP JetAdvantage Management Connector deve rimanere installato e registrato. Gli utenti di HP JetAdvantage Management autorizzati possono rimuovere l'elemento di connessione utilizzando il portale dell'applicazione. In questo caso, tutti i riferimenti correlati non saranno più visibili nel portale. Dati di registrazione dell'utente dell'applicazione HP JetAdvantage Management Nome Cognome Indirizzo e-mail Come HP utilizza questi dati I dettagli dell'account utente vengono memorizzati sull'applicazione HP JetAdvantage Management quando gli utenti ricevono l'autorizzazione all'accesso. Gli amministratori dell'applicazione possono contattare gli utenti via e-mail per fornire aggiornamenti sulle informazioni e assistenza in merito ad altri dettagli correlati agli utenti. Gli amministratori possono eliminare gli utenti da HP JetAdvantage Management. Dati di identificazione dei dispositivi di imaging e stampa Numero di serie Nome modello Indirizzo IP Nome host IP Indirizzo MAC (controllo di accesso ai supporti), talvolta chiamato anche indirizzo hardware Versione firmware Modello NIC (scheda di rete) Firmware NIC (scheda di rete) Dettagli del firmware (sia dispositivo di base che interfaccia di rete) 6 HP JetAdvantage Management
Dettagli della soluzione (limitata, ottenuta da ambiente di soluzioni nel dispositivo) Registri degli errori NOTA: HP JetAdvantage Management non memorizza le password note dei dispositivi per ciascun dispositivo. HP non acquisisce né memorizza nessuna informazione sui registri dei processi, come nomi utente o dettagli dei processi dai dispositivi. Come HP utilizza questi dati Alla prima comunicazione con qualsiasi dispositivo, le informazioni vengono memorizzate nell'applicazione HP JetAdvantage Management per identificare il dispositivo e sono utilizzate nella regolare gestione e comunicazione con il dispositivo. HP utilizza i dettagli sul firmware e sulle soluzioni per verificare ed eseguire la manutenzione del parco del cliente. Le informazioni sugli errori vengono utilizzate per analizzare le prestazioni del parco. I dispositivi sono identificati mediante un identificatore cliente di HP JetAdvantage Management che garantisce l'unicità di ciascun dispositivo per ogni cliente specifico. Gli amministratori di HP JetAdvantage Management possono rimuovere i fornitori di servizi e/o i clienti ed eliminare i dispositivi visualizzati. Dati delle impostazioni di gestione dei dispositivi di imaging e stampa I dettagli dei dispositivi relativi alle operazioni di configurazione sono effettuati da funzionalità di policy di HP JetAdvantage Management. Come HP utilizza questi dati HP JetAdvantage Management invia le richieste di configurazione, che comportano quindi una modifica delle impostazioni del dispositivo. Queste impostazioni vengono poi rilette nell'applicazione per convalidare l'esito della configurazione. Dati delle azioni degli utenti di HP JetAdvantage Management HP JetAdvantage Management tiene un registro delle azioni degli utenti nel database dell'applicazione. Come HP utilizza questi dati Per migliorare i prodotti e i servizi di HP Partizionamento dei dati dei clienti HP JetAdvantage Management è un sistema multi-tenant in grado di supportare più entità di fornitori di servizi e clienti al proprio interno. Mediante le identità di HP Passport, gli utenti ricevono l'autorizzazione ad accedere a uno o entrambi gli elementi denominati Cliente e Fornitore di servizi di HP JetAdvantage Management. La figura 2 mostra la struttura gerarchica utilizzata per separare queste entità al livello Cliente in cui vengono gestiti i parchi dispositivi. Dati di HP JetAdvantage Management e dei clienti 7
Figura 2 Gerarchia di tenant di HP JetAdvantage Management HP JetAdvantage Management assegna un'identità unica a ciascun dispositivo e collega tale identità all'elemento Cliente di HP JetAdvantage Management. Questa separazione definisce i limiti tra i parchi dei clienti e le gerarchie dei fornitori di servizi. Un utente che ha ricevuto l'autorizzazione ad accedere al livello Fornitore di servizi nella gerarchia ha accesso a tutti i livelli sottostanti. Un utente che ha ricevuto l'autorizzazione ad accedere esclusivamente al livello Cliente ha accesso a quel determinato livello, comprendente i dispositivi e le funzionalità correlate. 8 HP JetAdvantage Management
Sicurezza dei dispositivi HP JetAdvantage Management utilizza le credenziali dei dispositivi per comunicare con i dispositivi che hanno password o altri tipi di credenziali impostate. Queste informazioni sono visibili nella Figura 3 che presenta una schermata di gestione delle credenziali. Quando si incontra un dispositivo con una credenziale, HP JetAdvantage Management tenta di utilizzare il valore globale del cliente memorizzato mediante l'interfaccia Gestisci credenziali dei dispositivi illustrata nella Figura 3. Figura 3 Gestione delle credenziali NOTA: questo documento non fornisce raccomandazioni sulla protezione dei dispositivi, come l'uso di password per proteggere i dispositivi o l'uso di certificati x.509 in determinati tipologie di comunicazione dei dispositivi. Per determinare le proprie best practice in materia di protezione dei dispositivi HP, consultare altre fonti di informazioni HP. Sicurezza dei dispositivi 9
10 HP JetAdvantage Management
A Appendice HP JetAdvantage Management Connector La figura seguente fornisce informazioni sulla connessione Internet per HP JetAdvantage Management Connector Per maggiori informazioni, consultare anche le note di HP JetAdvantage Management Connector. Figura A-1 Dettagli sulla connessione Internet di HP JetAdvantage Management Connector 11
12 Appendice A Appendice HP JetAdvantage Management Connector
2015 HP Development Company, L.P. www.hp.com