HP JetAdvantage Management. Notas del producto sobre seguridad

Transcripción

1 HP JetAdvantage Management Notas del producto sobre seguridad

2 Copyright y licencia 2015 Copyright HP Development Company, L.P. Prohibida la reproducción, adaptación o traducción sin autorización previa y por escrito, salvo lo permitido por las leyes de propiedad intelectual (copyright). La información contenida en este documento está sujeta a cambios sin previo aviso. Las únicas garantías de los productos y servicios HP se detallan en las declaraciones de garantía expresas que acompañan a dichos productos y servicios. Ninguna información contenida en este documento debe considerarse como una garantía adicional. HP no será responsable de los errores u omisiones técnicos o editoriales contenidos en este documento. Referencia: c enw Edition 2, 01/2015 Créditos de marcas comerciales Microsoft, Windows, Windows XP y Windows Vista son marcas comerciales registradas en EE.UU. de Microsoft Corporation. Este documento es confidencial de HP y se considera información reservada de propiedad exclusiva. Solo tiene permiso para ver el documento el personal autorizado, entre el que se incluyen: Ingenieros de gestión de flotas con centros de administración remota de MS Personal de atención al cliente de HP Personas que trabajen en mantenimiento de sistemas LES que planifiquen y ejecuten actualizaciones de firmware de clientes Pilotos: diferentes equipos y trabajadores de HP que evalúen la solución HP JetAdvantage Management para el desarrollo futuro del programa

3 Tabla de contenido HP JetAdvantage Management... 1 HP JetAdvantage Management: Una aplicación de gestión de flotas distribuida en la nube... 2 Arquitectura de HP JetAdvantage Management... 3 Compromiso de HP con la seguridad... 4 HP JetAdvantage Management y datos de clientes... 5 Almacenamiento de datos de HP JetAdvantage Management (datos inactivos)... 5 Comunicación de HP JetAdvantage (datos en movimiento)... 5 HP JetAdvantage Management, recopilación de datos y uso... 5 Creación de particiones de datos de cliente... 7 Seguridad de dispositivo... 9 Apéndice A HP JetAdvantage Management Connector iii

4 iv

5 Lista de figuras Figura 1 Comunicación de dispositivos de HP JetAdvantage Management... 3 Figura 2 Jerarquía de inquilinos de HP JetAdvantage Management... 8 Figura 3 Administrar credenciales... 9 Figura A-1 Detalles de conexión a Internet de HP JetAdvantage Management Connector v

6 vi

7 HP JetAdvantage Management 1

8 HP JetAdvantage Management: Una aplicación de gestión de flotas distribuida en la nube HP JetAdvantage Management es una herramienta de gestión escalable y basada en la nube para flotas de impresoras. El equipo de tecnologías de la información (TI) de HP hospeda HP JetAdvantage Management en una infraestructura de servidor conocida como Next Generation Data Center (NGDC). La aplicación está disponible para clientes a través de un portal hospedado en Internet, por lo que no es necesario descargar o actualizar software cliente. El portal es una interfaz basada en web a la que se puede acceder con los navegadores Chrome TM, Firefox o Internet Explorer 9, 10 y 11. El cliente no necesita cargar ningún software de servidor, aparte de una aplicación ligera firmada por HP llamada HP JetAdvantage Management Connector, que facilita la comunicación entre flotas de dispositivos de clientes conectados en red (impresoras y dispositivos multifunción) y la aplicación HP JetAdvantage Management. Los equilibradores de carga de Internet gestionan el flujo de tráfico entre los navegadores de los clientes, las instancias de HP JetAdvantage Management Connector y la infraestructura de aplicaciones. Los miembros del equipo dedicado de TI de HP actualizan los servidores que mantienen la infraestructura, así como los datos de trabajo y los datos almacenados. El cliente no necesita instalar actualizaciones, excepto en los hosts de escritorio que ejecuten el navegador y en los sistemas donde esté instalado HP JetAdvantage Management Connector. Seguridad de HP JetAdvantage Management Los equipos de TI y de desarrollo de HP trabajan de forma conjunta para proteger la confidencialidad, la integridad, la confianza y la disponibilidad de todos los recursos de HP JetAdvantage Management. El desarrollo de HP JetAdvantage Management incluye una estrategia de seguridad de software que cumple con la directiva de seguridad general de desarrollo de Hewlett-Packard y que abarca estas recomendaciones clave de seguridad: formación, diseño, desarrollo, pruebas/auditoría e implementación. 2 HP JetAdvantage Management

9 Arquitectura de HP JetAdvantage Management HP JetAdvantage Management está hospedado en servidores de HP. Tanto la interfaz de usuario (un portal basado en web) como JetAdvantage Management Connector se comunican a través de Internet. En la ilustración 1 se muestra un HP Fleet Management Engineer (FME) que usa el portal de JetAdvantage Management con un navegador de escritorio. El FME interactúa con HP JetAdvantage Management que, a su vez, se comunica con una flota de dispositivos a través de un firewall de cliente con la aplicación HP JetAdvantage Management Connector. El software JetAdvantage Management Connector se puede ejecutar en un servidor de cliente o en un dispositivo de HP donde también se hospeden otras aplicaciones de gestión. Más adelante en este documento se describen los protocolos de comunicación usados para facilitar la gestión de dispositivos basada en la nube. La infraestructura de HP JetAdvantage Management está formada por varios servidores (lo que también se conoce como una pila) que forman las piezas activas del sistema en general. Algunos ejemplos de componentes principales en el sistema de funcionamiento son equilibradores de carga, servidores de aplicaciones, servidores de tráfico XMPP, servidores de aplicaciones de HP JetAdvantage Management e infraestructura de base de datos. HP Passport o el inicio de sesión de empleado de HP autentican el acceso de la identidad de usuario en la interfaz del portal, y un proceso de registro con clave establece la comunicación segura entre los conectores de datos y la aplicación. Los datos de cliente se protegen en una infraestructura de base de datos y la información confidencial se cifra según procedimientos estándar que se describen posteriormente en este documento. NOTA: Para obtener más información, consulte el Apéndice A: Detalles de conexión de HP JetAdvantage Management Connector en la página 8, o bien consulte las Notas del archivo Léame de HP JetAdvantage Management Connector. Figura 1 Comunicación de dispositivos de HP JetAdvantage Management Arquitectura de HP JetAdvantage Management 3

10 Compromiso de HP con la seguridad Pruebas: HP realiza pruebas en el software HP JetAdvantage Management mediante medios manuales, prácticos y automatizados en cada nueva versión del software para garantizar la calidad y la integridad. Autenticidad: el ejecutable del instalador de HP JetAdvantage Management Connector está firmado. Después de instalarlo y ejecutarlo, HP JetAdvantage Management Connector usa una identidad y una contraseña para autenticar todas las comunicaciones con HP JetAdvantage Management. Análisis de vulnerabilidades y otros análisis de riesgos: HP usa una amplia variedad de herramientas estándar del sector para comprobar HP JetAdvantage Management durante su desarrollo. Pruebas independientes: HP realiza pruebas de auditoría, tanto con recursos internos como de terceros, para evaluar y corregir vulnerabilidades y otros problemas de seguridad en el software HP JetAdvantage Management. Entre las pruebas se incluye el análisis de HP JetAdvantage Management para identificar vulnerabilidades de seguridad en referencia a errores identificados por las principales organizaciones del sector, como OWASP, SANS, NIST y MITRE, entre otras. Las pruebas independientes son amplias y abarcan las áreas siguientes: Inyección SQL Gestión de sesiones Defectos de lógica empresarial Inyección de script Recomendaciones de seguridad de HP: Los equipos de TI de HP supervisan HP JetAdvantage Management de forma ininterrumpida. Los tickets de asistencia técnica asignados a estos equipos de TI son atendidos inmediatamente. HP proporciona redundancia de datos en el sistema para evitar la pérdida de datos. Los equipos de TI de HP realizan copias de seguridad de forma periódica y han documentado planes de recuperación en caso de catástrofes. Como procedimiento estándar, HP emitirá boletines de seguridad si se detecta algún riesgo. Regístrese para recibir boletines de seguridad de HP con alertas sobre controladores, asistencia técnica y seguridad en hp.com/support Revisiones habituales por otros desarrolladores y cursos de formación basados en las directrices de seguridad informática de HP. HP JetAdvantage Management existe en un entorno de servidor con varios niveles que se aloja en las instalaciones de un centro de datos de HP con medidas de seguridad físicas. Auditoría: HP JetAdvantage Management registra las acciones realizadas por el usuario a medida que se completan. También se registran las acciones en dispositivos. Se pueden solicitar los registros de auditoría de cualquier cliente o usuario de HP JetAdvantage Management mediante la escalación de un caso de asistencia técnica al equipo de garantía para clientes de HP. 4 HP JetAdvantage Management

11 HP JetAdvantage Management y datos de clientes La información de los clientes se transmite desde y hacia HP JetAdvantage Management y también se almacena de forma segura en la infraestructura de servidor. Almacenamiento de datos de HP JetAdvantage Management (datos inactivos) Los datos se escriben y se recuperan de un número limitado de bases de datos importantes de HP JetAdvantage Management en una infraestructura de servidor con varios niveles. HP JetAdvantage Management usa servidores de bases de datos aprovisionados que incluyen servicios de copia de seguridad. Toda la información confidencial (contraseñas de cuenta e identidades de usuarios y del conector, así como credenciales de dispositivo) se cifra y almacena en la base de datos. NOTA: Las contraseñas de las cuentas de usuario se guardan y autentican mediante cuentas de HP Passport. También se cifran todos los dispositivos futuros, así como otros datos de clientes de carácter confidencial, a medida que se amplía la biblioteca de datos de HP JetAdvantage Management. Los equipos de desarrollo de HP revisan con frecuencia los algoritmos de cifrado y las características de autenticación y registro, así como las normas de seguridad del sector. La información de la flota de dispositivos de clientes no se almacena en la instancia de HP JetAdvantage Management Connector hospedada en la red del cliente (con la excepción de algunos registros de seguimiento del conector). Comunicación de HP JetAdvantage (datos en movimiento) HP JetAdvantage Management usa SSL/TLS estándar del sector para proporcionar la seguridad al transmitir o recibir datos. Esto también se conoce como comunicación HTTPS, que es simplemente HTTP a través de SSL/ TLS con un certificado X.509 para autenticidad y cifrado. El certificado se usa para establecer una confianza unidireccional entre los clientes y el servidor de HP JetAdvantage Management. Los clientes confían en el servidor si el certificado del servidor es válido. Después de iniciar la negociación HTTPS y la comunicación hacia o desde HP JetAdvantage Management, la información que se transfiera a través de la red estará cifrada. HP usa un certificado de servidor seguro de clase 3 firmado por VeriSign con una clave RSA de 2048 bits. HP JetAdvantage Management, recopilación de datos y uso Toda la información recopilada por HP es protegida por los términos de la Declaración de privacidad en línea de HP. Proteger la privacidad de su empresa es lo más importante. HP JetAdvantage Management es usado por HP y nuestros distribuidores autorizados para ayudar a gestionar flotas de impresoras y dispositivos multifunción de clientes. HP JetAdvantage Management no tiene acceso al contenido de lo que imprimen los empleados de su empresa ni a los documentos almacenados por su empresa. HP no captura o almacena registros de dispositivo con detalles de usuarios y jobs. HP no venderá, alquilará o cederá ningún tipo de información sin el consentimiento expreso de su empresa. HP conserva los datos de clientes de HP JetAdvantage Management durante un plazo de 10 años después de que la cuenta haya sido desactivada por el cliente o por HP. Después de la desactivación de la cuenta, los datos del cliente solo se conservan en los almacenes de datos de HP JetAdvantage Management y no son visibles fuera de HP. HP JetAdvantage Management y datos de clientes 5

12 HP recopila los datos siguientes: Datos de registro de software de HP JetAdvantage Management Connector Nombre Apellidos Dirección de correo electrónico Número de teléfono Nombre de host de IP de HP JetAdvantage Management Connector Dirección IPv4 de HP JetAdvantage Management Connector Detalles de proxy web de HP JetAdvantage Management Connector (si corresponde) Uso de estos datos por HP HP almacena estos datos en la aplicación HP JetAdvantage Management para que se puedan usar para identificar su instalación de software y para facilitar las comunicaciones necesarias para que el software funcione correctamente. Para que HP pueda prestar servicios de gestión hospedados en la nube, el software HP JetAdvantage Management Connector debe permanecer instalado y registrado. Los usuarios autorizados de HP JetAdvantage Management pueden desinstalar el elemento conector con el portal de la aplicación y las referencias relacionadas ya no serán visibles en el portal. Datos de registro de usuarios de la aplicación HP JetAdvantage Management Nombre Apellidos Dirección de correo electrónico Uso de estos datos por HP La información de la cuenta de usuario se almacena en la aplicación HP JetAdvantage Management cuando se concede el acceso a los usuarios. Los administradores de la aplicación pueden ponerse en contacto con los usuarios mediante correo electrónico para proporcionar información sobre novedades y ayudarles con otros temas relacionados con los usuarios. Los administradores pueden eliminar usuarios de HP JetAdvantage Management. Datos de identificación de dispositivo de impresión y digitalización Número de serie Nombre de modelo Dirección IP Nombre de host IP Dirección MAC (control de acceso al medio), también denominada dirección de hardware Versión de firmware Modelo de NIC (tarjeta de interfaz de red) Firmware de NIC (tarjeta de interfaz de red) 6 HP JetAdvantage Management

13 Detalles del firmware (el dispositivo base y la interfaz de red) Detalles de las soluciones (limitados, obtenidos del entorno de las soluciones en el dispositivo) Registros de error NOTA: HP JetAdvantage Management no almacena contraseñas de los dispositivos conocidos. HP no recopila ni almacena detalles de registro de jobs, como nombres de usuario o detalles de jobs de dispositivos. Uso de estos datos por HP Después de establecer la primera comunicación con un dispositivo, la información se almacena en la aplicación HP JetAdvantage Management con fines de identificación del dispositivo y se usa para la gestión de dispositivos y la comunicación de forma continuada. HP usa la información del firmware y de las soluciones para evaluar y efectuar el mantenimiento de la flota del cliente. Los detalles de los errores se usan para analizar el rendimiento de la flota. Se hace referencia a todos los dispositivos mediante un identificador de cliente de HP JetAdvantage Management, de forma que cada dispositivo sea único para un cliente específico. Los administradores de HP JetAdvantage Management pueden eliminar proveedores de servicios o clientes, lo que también eliminará los dispositivos y no se podrán visualizar. Datos de ajustes de gestión de dispositivos de impresión y digitalización La información de dispositivo relacionada con operaciones de configuración se realiza mediante características de directiva de HP JetAdvantage Management. Uso de estos datos por HP HP JetAdvantage Management envía solicitudes de configuración que, como resultado, cambian los ajustes en el dispositivo. Estos ajustes se vuelven a leer en la aplicación para comprobar que la configuración es la correcta. Datos de acción de usuario de HP JetAdvantage Management HP JetAdvantage Management conserva un registro de las acciones de usuario en la base de datos de la aplicación. Uso de estos datos por HP Para mejorar los productos y servicios de HP. Creación de particiones de datos de cliente HP JetAdvantage Management es un sistema de varios inquilinos que admite varias entidades, tanto de proveedores de servicios como de clientes. Mediante sus identidades de HP Passport, a los usuarios se les concede acceso a uno o a los dos elementos de HP JetAdvantage Management (con nombres de clientes y de proveedores de servicios). En la ilustración 2 se muestra la estructura jerárquica usada para separar estas entidades en el nivel del cliente donde se gestionan las flotas. HP JetAdvantage Management y datos de clientes 7

14 Figura 2 Jerarquía de inquilinos de HP JetAdvantage Management HP JetAdvantage Management asigna una identidad única a cada dispositivo y vincula dicha identidad con el elemento de cliente de HP JetAdvantage Management. Esta separación define los límites entre las jerarquías de flotas de cliente y de proveedores de servicios. Un usuario al que se conceda acceso a un nivel de proveedor de servicios en la jerarquía tiene acceso a todos los niveles inferiores. Un usuario al que se le conceda acceso a un nivel de cliente solo tiene acceso a dicho nivel de detalle, incluidos los dispositivos y las características relacionadas. 8 HP JetAdvantage Management

15 Seguridad de dispositivo HP JetAdvantage Management usa credenciales de dispositivo para comunicarse con dispositivos que tengan establecidas contraseñas u otro tipo de credenciales. Estas se muestran en la ilustración 3, que es una vista de la pantalla de gestión de credenciales. Cuando se encuentra un dispositivo con una credencial, HP JetAdvantage Management intenta usar el valor global del cliente, almacenado mediante la interfaz de Administrar credenciales de dispositivo que se muestra en la ilustración 3. Figura 3 Administrar credenciales NOTA: En este documento no se describen las recomendaciones de seguridad de dispositivos, como el uso de contraseñas para proteger dispositivos o el uso de certificados x.509 en algunos tipos de comunicación entre dispositivos. Consulte otras fuentes de información de HP para determinar los procedimientos recomendados relacionados con la seguridad de los dispositivos HP. Seguridad de dispositivo 9

16 10 HP JetAdvantage Management

17 A Apéndice: HP JetAdvantage Management Connector En las ilustraciones siguientes se proporcionan los detalles de conexión a Internet de HP JetAdvantage Management Connector. Consulte también las Notas del archivo Léame de HP JetAdvantage Management Connector para obtener más información. Figura A-1 Detalles de conexión a Internet de HP JetAdvantage Management Connector 11

18 12 Apéndice A Apéndice: HP JetAdvantage Management Connector

19

20 2015 HP Development Company, L.P.