Когда дело доходит до безопасности, школы сталкиваются с уникальными задачами. Трудно представить себе другой тип организации, объединяющий функции образования, здравоохранения, финансов, розничной торговли и исследований, наряду с прочими административными функциями, например, кадрами и бухгалтерским учетом. Если Вы подумаете, что весь этот комплекс услуг необходимо объединить с солянкой из правил обеспечения безопасности, открытым доступом к информации в стенах и за пределами учреждения, и возможно, очень ограниченным бюджетом, вопрос безопасности станет на порядок более сложным, чем обычно.
Преступники все чаще пользуются этой возможностью, и школы чувствуют, что давление на них растет. В опросе Educause, проведенном в 2015 году, вопросы безопасности были в конце первой десятки проблем, занимающих внимание директоров школ и руководителей ИТ-сферы в образовании. В 2016 и 2017 информационная безопасность считалась проблемой номер 1 в сфере инфотехнологий.
Хорошо это или плохо, но обычно широко освещаются сферы розничной торговли и здравоохранения из-за огромного ущерба, который наносится в результате наиболее заметных преступлений. Из-за давления, которое оказывают правительство и клиенты, обе отрасли были вынуждены решать свои проблемы публично. Отсутствие крупных преступлений, в результате которых учебные заведения могут утратить огромные массивы информации, дает им ложное представление о масштабах проблемы.
По данным Центра анализа конфиденциальности личных данных, в секторе образования в 2016 году было всего 19 взломов, в результате которых пострадало менее 65 000 записей. Но из 19 взломов в 11 количество записей неизвестно, поэтому они в расчете не учитывались. Пять других взломов итого с 613 000 записями в расчет не принимались, поскольку общее количество записей не проверялось. Поскольку данные не полные, истинный масштаб проблемы неясен.
Дети гораздо чаще являются целью кражи личных данных, чем взрослые, хотя эта оценка тоже сильно занижена. И последствия дыр в безопасности школы может повлиять на всю их жизнь.
Как Вы относитесь к угрозе, которую Вы не можете измерить?
Одним из первых шагов, рекомендованных экспертами в области безопасности, является тщательная и постоянная оценка рисков. Очень важно на этом этапе получить обзор ситуации. Это особенно сложно в школьных сетях, поскольку контингент в них более мобильный, чем в большинстве других организаций, но это просто указывает на необходимость внести эту работу в список повседневных дел, а не выполнять ее раз в год.
Получив подробный обзор, Вы получаете ряд дополнительных преимуществ. Это не только повышает эффективность отчетности и расширяет возможности отслеживания инцидентов; Вы четче видите аномальные явления. В сфере, где сокращение бюджета, по-видимому, не является чем-то из ряда вон выходящим, так Вы сможете лучше обосновать необходимость бюджетных статей и обеспечить оптимальный уровень охвата за счет любых выделенных средств. И благодаря лучшему мониторингу Ваших средств, быстрее реагировать на события в системе безопасности.
Что делать с этой информацией?
Теперь, когда Вы знаете о состоянии средств, которыми располагаете, а также связанных с ними рисков, следующим шагом станет смягчение этих рисков. Возможно, эти данные выбьют Вас из колеи, поскольку количество угроз, которые будут обнаруживаться каждый день, растет стремительными темпами. Вместо того, чтобы сосредоточиться на отдельных угрозах, может быть, стоит сосредоточиться на том, как эти угрозы проникают в Вашу сеть.
Большинство угроз проникает распространялись незаметно, используя автоматизированные методы для использования уязвимостей системы и сети. Другие угрозы основаны на тактике психологического воздействия с целью заманить жертв через Интернет или по электронной почте. Это указывает на два разных типа проблем: технологический и человеческий фактор.
Способы улучшения технологий
Самые простые приложения состоят из миллионов строк кода. Если даже малая часть этих строк содержит ошибки, это означает, что в каждой программе или устройстве имеется значительное количество потенциальных ошибок. Хотя часть их приведет к простому сбою, некоторые окажутся более серьезными и позволят кому-то украсть данные или запустить вредоносный код. Ряд ошибок может оставаться незамеченным в течение многих лет, так что их можно будет спокойно использовать для взлома в течение довольно продолжительного времени.
Поскольку каждое устройство и приложение потенциально может стать слабым звеном в Вашей сети, некоторые элементы менее защищены, чем другие. Есть устройства, которые Вы будете полностью контролировать, а другие преимущественно будут за пределами Вашего влияния. Но можно уменьшить риск, которому подвергаются даже те устройства, которые Вы относительно не контролируете:
Раннее и частое обновление
Сейчас большинство из нас знают о необходимости регулярно обновлять программное обеспечение. Но необходимо проверять не только Ваш настольный компьютер, ноутбук и мобильные устройства, да и не все устройства запрашивают у Вас разрешение на установку доступных обновлений. Маршрутизаторы также необходимо обновлять, хотя, по всей вероятности, Вам придется вручную проверять наличие новых обновлений.
Сегментация сети
Подключайте неконтролируемые устройства, например, мобильные устройства или ноутбуки, которые приносят сотрудники или студенты, и подключенные к Интернету «интеллектуальные» устройства в сегментах сети, которые изолированы от хранилища конфиденциальных данных, например данных о расчете заработной платы, медицинских записей и данных исследований. Сегменты сети с хранящимися конфиденциальными данными должны быть изолированы друг от друга, чтобы злоумышленник не мог использовать менее защищенное устройство, чтобы получить доступ к более ценной информации.
Принцип минимальных привилегий
Не предоставляйте пользователям, системе или части Вашей сети более широкий доступ, чем это необходимо для выполнения утвержденных задач. Например, Вам следует как следует взвесить, стоит ли предоставлять сотрудникам доступ к своим машинам на уровне администратора и нужен ли им доступ к сегментам сети за пределами их отдела.
Идентификация и авторизация
Используйте более сложные имена пользователей и пароли для идентификации пользователей, особенно на машинах с ценной или конфиденциальной информацией. Двухфакторная проверка подлинности сейчас доступна на большинстве предлагаемых онлайн-услуг, ее легко интегрировать в процесс входа в Вашу систему. Не ограничивайтесь прросто идентификацией; можно комбинировать этот метод с принципом минимальных привилегий, чтобы определить уровень доступа каждого пользователя.
Фильтрация сетевого трафика
Используйте веб-фильтры и фильтры электронной почты для проверки на наличие спама и фишинга, а также блокирования наиболее часто встречающихся типов файлов, которые используются авторами вредоносных программ, — это поможет снизить риск попадания вредоносного ПО на машины пользователей.
ПО для обеспечения безопасности
Программное обеспечение для защиты от вредоносных программ, используемое на шлюзе, в сети и в конечной точке, может помочь выявить и предотвратить проникновение вредоносного ПО в Вашу сеть или уменьшить причиненный ущерб, если это ПО сможет проникнуть сквозь систему первичной защиты. Межсетевые экраны и программное обеспечение для предотвращения вторжений помогут распознать неизвестный или нежелательный сетевой трафик.
Шифрование
Конфиденциальные данные должны быть зашифрованы при их хранении на компьютерах и мобильных устройствах, а также отправке их по сети через эл.почту, Интернет или приложения для мгновенного обмена сообщениями. Таким образом, даже если злоумышленники проникнут в Вашу сеть, они не смогут воспользоваться данными.
Подготовка к аварийным ситуациям
Регулярное создание и проверка резервных копий — это очень эффективный способ минимизации ущерба вследствие срабатывания программ-вымогателей и других вредоносных программ, а также в случае других технологических сбоев или природных катаклизмов.
Методы работы с человеческим фактором
Технологические решения могут помочь в минимизации ряда рисков, но если Ваша работа не направлена на пользователей Вашей сети, вся Ваша тяжелая работа может оказаться напрасной. Если методы безопасности причиняют слишком много хлопот, или если пользователи не понимают, что такое безопасное поведение за компьютером или почему оно важно, они могут свести на нет защиту технологическими средствами.
Обучайте с самого начала и постоянно
Вы не можете объяснить студенту всю геометрию за один раз. Так же и с безопасностью, Вам нужно постепенно рассказывать пользователям о безопасности, постепенно захватывая все новые важные темы. Проведенные исследования показали, что 52% взлома данных являются результатом ошибки пользователя, поэтому важно, чтобы работники обязательно участвовали в курсах на тему компьютерной безопасности. Если Ваш ИТ-бюджет ограничен, Вы можете начать с бесплатных ресурсов, например, недавно выпущенного Разработайте «Правила допустимого использования сети», пусть она будет вывешена в местах, где пользователи часто будут ее видеть.
Отслеживайте, как пользователи выполняют свою работу
Безопасность приобрела плохую репутацию, поскольку она ассоциируется с чинением различных препятствий и постоянным надзором из-за плеча. Сотрудничество с пользователями с целью понять тактику их повседневной работы может помочь Вам адаптировать меры безопасности к нуждам персонала, чтобы обеспечить работникам безопасность при выполнении их задач. При надлежащем выполнении это может повыситьощущение защищенности личного пространства пользователей.
Поощряйте безопасное поведение
Пользователи — это глаза и уши Вашей сети. Заручившись их помощью в задаче определения, что является нормальным или аномальным поведением, и поощряя безопасное поведение, Вы можете стимулировать пользователей к повышению безопасности в Вашей организации.
Недавно Forbes опубликовал статью «Почему кибербезопасность должна стать приоритетом бизнеса № 1 в 2017 году”. Я считаю, что это особенно актуально для образовательных учреждений. Школы подвергаются самым разным атакам; нехватка данных говорит о том, что последствия этого, вероятно, более серьезны и масштабны, чем мы можем подумать. Настало время оценить стратегию безопасности и обучить сотрудников, защитить наших студентов и сотрудников.
Источник: WeLiveSecurity
