Информационная безопасность онлайн-школы

Внутренние злонамеренные
Например, данные сливает сотрудник компании. Такая ситуация произошла в феврале 2022 года с сервисом Яндекс Еда, когда в сети появились телефоны клиентов, информация о составе заказа и адреса доставок.

Внешние злонамеренные
Хакерские, они же «киберкриминальные» атаки из внешней среды. С целью как заблокировать доступ компании к своим ресурсам, так и украсть информацию. Например, в июне 2022 года хакеры взломали базу данных образовательного портала GeekBrains. В открытый доступ попала информация о курсах, которые приобрели ученики.

Случайные
Пример: для работы локальной сети используется внутренняя поисковая система, она функционирует только внутри сети. Но при обновлении конфигурации внешнего сетевого оборудования вход в поисковую систему стал виден всему интернету — допустим, по случайной ошибке сисадмина.

Кибератака на сетевую инфраструктуру
Обычно проходит в два этапа: сначала взламывается сетевой периметр из интернета. Дальше, закрепившись во внутренней сети, хакеры получают доступ ко многим системам и критически важной информации.

Фишинг
Подделываются электронные письма, клонируются официальные сайты — мошенники используют любую площадку, которая вызывает доверие. Цель — заставить пользователя перейти по ссылке, а дальше уже вариации: либо он сам передаёт конфиденциальную информацию, либо на устройство устанавливается вредоносное ПО.

Блокировка доступа
DDoS-атака на сайт или сервер — одновременно с разных устройств отправляется невероятное количество запросов. Сервер с обработкой не справляется и перестаёт отвечать на запросы от легитимных пользователей. В итоге сайт заблокирован, пока DDoS-атака не прекратится.

Утечка или кража данных пользователей и другой конфиденциальной информации
Позаимствовать персональные данные учеников, пароли, данные платёжных карт и многое другое могут как недовольные сотрудники, так и внешние нарушители.

Если ученики используют личные устройства, например для участия в вебинарах, это ручеёк для слива данных. Домашние компьютеры обычно плохо защищены и через них проще собрать информацию о пользователях.

Дефейс сайта
Главная страница сайта подменяется другой, с рекламой или иной информацией, нарушающей закон.

Воровство уникального образовательного контента
Методики, лекции, видео, домашки — наработанные годами материалы сливают в сеть, как итог: ценность платного курса падает. Это не приговор, но неприятная подножка на пути к успеху. И от неё можно и нужно застраховаться.

оберегать персональные данные учеников — особенно если на платформе возможна оплата курсов;

закрывать от скачивания и копирования образовательный контент;

контролировать и защищать доступ на сайт онлайн-школы или образовательную платформу.

Антивирусы — программу выбирают в зависимости от местоположения сервиса (обычное или облачное), самих устройств и стоимости.

DLP (data leak prevention) — программное обеспечение, которое защищает от утечки данных. Особенность DLP в том, что оно не только блокирует передачу данных по различным каналам, но и позволяет наблюдать за ежедневной работой персонала.

Программы для шифрования данных — это страховка на случай «потери» персональных данных. Даже если они уйдут в сеть, то останутся непрочитанными.

Межсетевые экраны — защищают от несанкционированного доступа из внешней сети.

Комплексные SIEM-решения — собирают информацию обо всех событиях в системах, которые обеспечивают информационную безопасность: из межсетевых экранов, антивирусов и другого ПО.
SIEM дают полную картину и позволяют быстро обнаружить угрозу.

Везде установлены пароли и аутентификация.
Созданы сложные пароли и от пользователей требуется их регулярная смена. В идеале использовать двухфакторную аутентификацию: первый рубеж — это логин и пароль, второй — специальный код, который приходит по SMS или на почту. Когда злоумышленник попытается войти в систему, он не сможет сделать этого без правильного пароля и кода проверки.

Везде изменены пароли «по умолчанию».
Во всех приложениях, операционных системах, межсетевых экранах — на всём, что имеет доступ в сеть.

Применяется шифрование данных, на всех рабочих устройствах онлайн-школы установлено антивирусное и специальное ПО.
И ограничено использование съёмных носителей.

Сотрудники онлайн-школы обучены элементарным навыкам цифровой гигиены:
— не переходят по сомнительным ссылкам;
— меняют пароль хотя бы 1 раз в 6 месяцев;
— везде используют разный сложный пароль.

Проводится инструктаж среди сотрудников.
Каждый знает, что является публичной информацией, а о чём рассказывать нельзя. И что будет при нарушении этих правил.

Инфраструктура и доступы сегментированы.
В идеале IT-инфраструктура устроена по принципу подводной лодки: каждый отсек отделён переборкой, которую можно задраить и спасти всё судно. Пользователи и ресурсы онлайн-школы разделены по доступам на изолированные друг от друга группы.
Тогда, при взломе одного сегмента, злоумышленники не попадут «автоматически» во всю остальную инфраструктуру.

Резервные копии регулярно сохраняются.
Рутинная и скучная задача, которая станет спасением при сбое.
Хотя бы одна резервная копия должна быть вне доступа сети.

Обратиться в местные правоохранительные органы — они расследуют, как произошло нарушение.

Сообщить в Роскомнадзор — именно он следит за исполнением законодательства о персональных данных.

Школе как оператору персональных данных нужно в течение 24 часов сообщить о нарушении, обстоятельствах инцидента, возможных причинах и предполагаемом вреде.

В течение 72 часов — уведомить о результатах внутреннего расследования. С подтверждённой учётной записью можно подать уведомление электронно через Госуслуги. Если вы считаете, что нарушены ваши права как субъекта персональных данных, на сайте Роскомнадзора также можно заполнить соответствующую форму обращения.

При необходимости рассказать затронутым в происшествии, что произошло.

Принять меры, чтобы подобное больше не повторилось.