Хакеры видят массу информации, которую можно украсть в школьных записях детей

Образовательное сообщество — учащиеся, учителя, родители, сотрудники и те, кто связан со всеми ними — подвергаются угрозам их физической безопасности. Теперь они также все чаще сталкиваются с угрозами, которые не уносят жизни, но тем не менее влияют на них.

«Цифровые двери нашей школы стучат, сканируют, проверяют и тыкают тысячи раз каждый день хорошо обеспеченными ресурсами злоумышленниками со всего мира», — сказал Чарли Райзингер, директор по информационным технологиям школьного округа Пенн-Мэнор в округе Ланкастер, штат Пенсильвания. и профессор IT-программы Миллерсвиллского университета Пенсильвании.

В США в 2022 году жертвами атак кибербезопасности стала 1981 школа в 45 округах, что почти вдвое превышает количество инцидентов в предыдущем году, согласно данным Отчет Эмсисофт на основе агрегированных общедоступных данных.

Школы «определенно не финансируются достаточно, чтобы поддерживать кибервойну», — сказал Джош Хеллер, руководитель отдела разработки информационной безопасности в Digi International.

В школьном округе Пенн-Мэнор обучается 5500 учащихся, которые в совокупности генерируют более двух миллионов отдельных точек данных только в основной системе управления учащимися.

Стремление к безупречной успеваемости студента

Киберпреступники, стремящиеся к выплате выкупа, или похитители личных данных, преследующие безупречную успеваемость учащегося, могут получить доступ к идентифицирующей информации, оценкам, заданиям, оценкам, домашним заданиям, медицинским записям, истории посещаемости, записям о дисциплинах, записям о специальном образовании, домашней связи и многому другому.

«Представьте, что вам 18 лет, и вы слышите, что ваш кредит уже испорчен преступником, который украл вашу личную информацию, когда вы учились в четвертом классе», — сказал Райзингер в показания в Сенате США от имени Ассоциации школьных советов Пенсильвании относительно конфиденциальности и защиты данных учащихся в октябре 2022 года. Помимо очевидных финансовых последствий непреднамеренной кражи личных данных в молодом возрасте, социально-эмоциональное воздействие всего этого, как называет это Хеллер, не может игнорироваться.

Между тем, огромное количество людей и устройств в любой стандартной современной образовательной среде порождает больше вариантов человеческих ошибок.

Уоррен Янг, вице-президент по образованию компании Absolute Software, говорит, что эти устройства часто теряются, независимо от того, теряют ли их учителя или ученики, забирают их, когда они уходят, или удаляют с устройств важные функции безопасности. «Вы не можете защитить то, чего не видите», — сказал Янг.

Хеллер говорит, что фишинговые атаки и использование известных уязвимостей в таких целях, как получение выкупа, вызывают первостепенную озабоченность. Затраты, связанные с программами-вымогателями, многообразны, включая потерю производительности из-за простоев, усилий по восстановлению и уплаченных выкупов. «На самом деле, самая большая цена, — сказал Янг, — заключается в том, что ваши ученики не учатся».

Даже когда сети не отключены, каждая дополнительная симуляция фишинга, шаг многофакторной аутентификации (MFA) и требование пароля, хотя и необходимы, приходится платить за это время обучения.

Злоумышленники, занимающиеся кибербезопасностью, могут иметь мотив, скорость и скорость, чтобы сохранить преимущество, но бесчисленное множество влияний в секторе образования не сидят сложа руки.

Федеральное финансирование и правила школьной кибербезопасности являются самым мощным оружием против кибератак. «В этом вопросе все внимание приковано к правительству», — сказал Хеллер. Возможности включают расширение финансирования через такие каналы, как Министерство внутренней безопасности. Программа грантов штата и местного уровня по кибербезопасности и регулирование с помощью таких средств, как в Калифорнии Закон о нормах проектирования с учетом возраста и инициативы по повышению осведомленности о кибербезопасности.

Преодоление разрыва в киберталантах с помощью партнерства

Райзингер говорит, что школы также могут решить проблему дефицита киберталантов (который во многом возникает из-за того, что заработная плата не может конкурировать с высокими технологиями), установив киберпартнерство между государственными школами и программами местных университетов. «Это может принять форму стажировок, обмена профессиональными знаниями, ученичества и других практических, ориентированных на навыки инициатив, направленных на создание потока талантов как для школ, так и для бизнеса», — сказал Райзингер.

Янг говорит, что крайне важно проверять данные, существующие на устройствах, и обеспечивать их зашифрованное состояние. Он добавил: «Если что-то случится с этим устройством, можете ли вы удалить эти данные с этого компьютера, чтобы ни к одному из них нельзя было получить доступ?»

Кроме того, Хеллер говорит, что ответственное раскрытие информации поставщиками через Агентство США по кибербезопасности и безопасности инфраструктуры может помочь использовать государственное финансирование. «Мы не должны позволять поставщикам оставлять клиентов уязвимыми», — сказал он. Правительство также имеет Национальная база данных уязвимостей NIST это помогает информационным группам быть в курсе последних событий, чтобы они могли защититься от новейших атак. Однако злоумышленники могут получить доступ к этой информации в гнусных целях, поэтому сохранение этой информации в тайне для тех, кто в ней нуждается, будет более выгодным.

Для школьных округов крайне важно понимать индикаторы компромисса. Согласно Руководство по действиям при утечке данных IBM, 2022 г., предприятиям требуется в среднем 207 дней, чтобы выявить нарушение и еще 70 дней, чтобы его локализовать. Знание того, что произошло стихийное бедствие, может помочь школам решить проблему с меньшими болезненными последствиями.

После этого наличие группы реагирования на инциденты для немедленного запуска плана аварийного восстановления поможет защитить критически важные активы и сообщество, на которое влияют эти активы.

Говоря, казалось бы, проще, Хеллер сказал: «Если у вас нет многофакторной аутентификации, вам конец».

Он советует отказаться от таких методов, как подтверждение по SMS, которые можно перехватить через Bluetooth, и говорит, что физические аппаратные токены безопасности будут безопаснее. Конечно, как сказал Янг: «Иногда мы говорим о детях пяти-шести лет с технологиями в руках». В этих случаях утерянная технология представляет собой реальную угрозу, и наиболее безопасное решение не обязательно является наиболее разумным. Этот парадокс — еще одна гора, на которую предстоит подняться школьным командам по информационной безопасности.

Какими бы ни были риски и решения, кибербезопасность в школах необходима, поскольку кибератаки неизбежны. «Есть желание нарушить порядок, поэтому мы должны понять, как нам смягчить последствия?» – сказал Хеллер.

К счастью, эта отрасль в значительной степени неконкурентна, говорит Янг, и сочетание коллективного мышления, многоуровневой безопасности и кибергигиены может изменить ситуацию к лучшему для школ, которые формируют наш мир.