一次例行的设备巡检，IT外包工程师打开办公室那台用了两年的打印机，顺手看了一眼设置：连着无线网络，管理密码还是出厂默认；内部硬盘里，存着过去两年经它打印、复印、扫描过的每一份文件——其中不乏合同和员工资料。
行政部的同事很意外：打印机也能泄密？
答案是：能，而且它常常是整个办公室里最容易被忽视的安全死角。
一、打印机的风险，藏在三个地方
第一是网络。多数办公打印机都接入了局域网，甚至连着外网。如果管理密码是默认的、固件从没更新过，攻击者可以直接通过打印机跳进内网，把它变成入侵公司系统的跳板。安全圈有句话：别小看任何一台联网设备，包括茶水间那台打印机。
第二是存储。很多人不知道，中高端打印机内部有硬盘，打印、复印、扫描过的文件会留下缓存。设备报废、转卖、外修时，这些数据跟着机器一起走了。曾有安全团队在二手市场回购打印机，轻松恢复了里面的财务报表和人事档案。
第三是纸面。打印出来的文件被遗忘在出纸口，涉密内容摆在人人路过的茶水间——这不是技术漏洞，是管理漏洞，但它造成的后果和技术泄密一模一样。
这三类风险有个共同点：发生的时候悄无声息。数据被偷了，打印机不会报警；文件被拍了，出纸口也不会有提示。等你发现的时候，损失往往已经造成了。
二、一台打印机，也是一台电脑
理解了这一点，管理思路就顺了。打印机有自己的操作系统、有自己的账号体系、有自己的存储，那就该像管电脑一样管它。
改掉默认密码，是第一步，也是最简单的一步。很多泄密事件的起点，就是一台用admin/admin登录的打印机。
顺带一提，无线打印机还有一个常被忽略的用法问题：访客Wi-Fi和办公内网不分家，外来人员的手机能直接搜到并连接内网打印机，甚至顺手扫描到共享文件夹。网络分区这个话题看起来很大，但落到打印机身上，就是一条简单的隔离规则。
定期更新固件，是第二步。厂商发布固件更新，很多时候就是在补安全漏洞。打印机不会自己提醒你更新，没人管，它就永远停在出厂状态。
关闭不必要的服务，是第三步。不用的无线直连、云端打印功能，该关就关。功能越少，攻击面越小。
至于存储安全，正规做法是开启数据加密和覆写功能——任务结束，缓存即清。设备退役前，对内部存储做专业擦除，而不是简单地“恢复出厂设置”。
还有一个高频场景值得单独说：外修。打印机故障后送修，内部存储跟着设备走。送修前把硬盘拆下或执行数据擦除，应该成为企业设备外修的标准动作——这一步，几乎没企业记得做。
三、把打印机纳入统一管理
单项措施都不复杂，难的是“有人记得做”。中小企业里，打印机通常没人管——它不坏，就没人想起它。
安全管理里有个词叫“攻击面”，指的是黑客能下手的入口总和。企业花大价钱保护电脑和服务器，却把打印机、摄像头这些“边角设备”晾在裸奔状态——攻击面没有变小，只是换了个位置。真正的安全，是把每一个入口都收进视野。
IT外包的做法，是把打印机纳入统一的设备管理清单：每台打印机的型号、IP、固件版本、密码状态，全部建账；每季度巡检时逐项核对，固件该更就更，密码该换就换；设备报废时，执行数据擦除流程并留档。纸面安全这一块，还会顺手给出建议——比如给财务、人事配独立打印区，敏感文件用刷卡打印，人到场机器才出纸。
一套下来，这个最容易被遗忘的角落，也进入了安全体系之内。网络安全这件事，最怕的不是漏洞多，而是有些设备从头到尾没人看过一眼。
打印机如此，监控、门禁、会议系统，同样如此。一家企业的安全水位，不取决于买了多少安全产品，而取决于最不起眼的那台设备有没有人管。安全，就是从"所有设备都有人管"开始的。
文/蓝盟IT外包
