Çoğu hafta ebeveynlerin gelen kutularına pizza öğle yemeği broşürlerinden okul gezisi duyurularına kadar okulla ilgili bir e-posta telaşı geliyor ve yine de korkutucu bir güncelleme son derece yaygın hale geldi: bir siber saldırı bildirimi.
Ontario’daki bir okul yönetim kurulundaki öğrenciler, geçtiğimiz Pazartesi günü kış tatilinden interneti olmayan ve siber bir olay nedeniyle iletişimleri kesintiye uğrayan sınıflara döndüler. Günler sonra, ülkenin en büyük okulu da dahil olmak üzere Kanada’daki birçok okul bölümü, öğrencilerin kişisel bilgileri ve ebeveynlerle iletişim gibi işlevleri yöneten, yaygın olarak kullanılan bir üçüncü taraf sağlayıcı olan PowerSchool ile bağlantılı büyük bir veri ihlali konusunda ailelere bilgi verdi.
Alberta’daki etkilenen okul bölümlerinden biri olan Red Deer Devlet Okulları’nın teknoloji ve bilgi hizmetlerinden sorumlu müdür yardımcısı Ron Eberts, “Temel olarak bu öğrenciyle ilgili her şey için tek adresli bir mağaza” dedi.
Newfoundland’ın eğitim bakanı Christa Lynn Howell, çarşamba günü yaptığı açıklamada, “Bu sadece Newfoundland ve Labrador meselesi değil. Çok geniş bir mesele.” dedi. “Bu platformu Kuzey Amerika’daki birçok okula sağlıyoruz.”
Siber saldırılar önemli hasara neden olabilir: yönetim kurulu düzeyinde entegre ağları bozarak bireysel okullardaki günlük operasyonları bozabilir; Bir diğeri, okulların öğrencilerden, ailelerden ve personelden topladığı büyük miktarda bilgiyi tehlikeye atabilir. Uzmanlar, okul kurullarının savunmasını güçlendirmek için daha fazla dikkat ve eyleme ihtiyaç olduğunu söylüyor.
Çekici hedef
Ontario’nun gizlilik komiseri Patricia Cosem, siber saldırıların arttığını ve bunların ölçeğinin, sıklığının ve karmaşıklığının arttığını söylüyor. Diğer kamu kurumları gibi okullar da cazip hedeflerdir.
“Ellerinde çok büyük miktarda kişisel bilgi var” dedi. “Devam etmesi gereken hizmetler sağlıyorlar. Sadece birkaç haftalığına kapanma seçenekleri yok.” Bunlar “zayıf kurumlardır” [cyberattackers] “Gerçekten fidye ödemeye zorlanabilir.”
Siber güvenlik uzmanı Ivo Wiens, Kanada okul kurullarından gelen siber saldırılarla ilgili yakın tarihli bazı e-postaları analiz ediyor, nelere bakılması gerektiğini paylaşıyor ve bu e-postalar gelen kutunuza ulaştığında (olmadığında değil) ebeveynlerin sorması gereken soruları özetliyor.
Manitoba’daki Pembina Trails Okul Bölümü’ne Aralık başında düzenlenen saldırı, günlük okul operasyonlarının İnternet bağlantılı ağlara ve uygulamalara ne kadar bağımlı olduğunun altını çiziyor.
“Temelde kullandığımız her şeyi kapatıyor: bilgisayarlar, PA sistemleri ve katılım [tracked] bağlı. Aksaklık okula yayıldıkça akranlarının endişelendiğini ve hüsrana uğradığını gören 10. sınıf öğrencisi Sabastian Kelly, “İnternet yoktu… Modern zamanlarda normal bir okulda kullandığımız her şey neredeyse yok oldu” dedi. Kış tatili.
Yaklaşık bir ay sonra durum düzeldi ancak gencin belirttiği gibi hala tamamen normal değildi: “Dürüst olmak gerekirse bu tür şeyler için daha fazla önlem görmek isterdim… Sanki bir rejimin çöküşü bu duruma yol açmamalıymış gibi her şeyin yok olmasına.” Bölümde.”
İnternet teknolojisi hizmetleri şirketi CDW Kanada’nın siber güvenlik alanı teknik direktörü Ivo Wiens, siber saldırganların sonuçta para aradığını, dolayısıyla bunun bir okul yönetim kurulunu (veya eğitim teknolojisi şirketini) parayı almak için fidye ödemeye zorlamak anlamına gelebileceğini söylüyor. Sistemlerini geri yükleyin veya ele geçirilen okul bilgilerini silin. Alternatif olarak, verileri yalnızca dolandırıcılık amacıyla kullanabilirler.
Wiens, öğrencinin adını, ev adresini ve telefon numarasını, sahte Sosyal Güvenlik numarasıyla birlikte kredi veya kredi kartı gibi şeylere başvurmak için kullanılabilecek “yeni bir kimlik” olarak tanımlıyor. Çocuğunuzun adına bir kredi veya kart için postada geç ödeme bildirimi açtığınızı düşünün.
Şöyle ekledi: “Bu, saldırganlar tarafından çok hesaplanmış bir oyun ve alınacak nispeten paranın olduğunu biliyorlar.”
Kanada okullarındaki siber olayların resmi takibi karanlıktır. CBC News’in temas kurduğu her il ve bölgedeki gizlilik komisyonlarına göre (New Brunswick hariç tümü yanıt verdi), yalnızca beş yargı bölgesinde K-12 devlet okullarının gizlilik ihlallerine yol açan siber olayları bildirme zorunluluğu bulunuyor.
Zorunlu raporlamaya sahip beş arasında:
- M.Ö. 2020 yılından bu yana bölgelerden toplam 101 gizlilik ihlali bildirimi gönderildi. Türe göre raporlamanın yapıldığı Şubat 2023’ten bu yana 19 tespit edilen siber ihlal.
- Manitoba: Raporlamanın zorunlu hale geldiği 2020’den 2022’ye kadar dört gönüllü rapor. Daha sonra 2022-2023 ve 2023-2024 mali yıllarında sıfır.
- Quebec: Olay sayısını paylaşmayı reddetti.
- Kuzeybatı Bölgeleri: Özellikle siber güvenlik olaylarının kayıtlarını tutmaz.
- Newfoundland ve Labrador: Bu haftadan önce son beş yılda K-12 okulları tarafından sıfır rapor edilmişti.
Bazı gizlilik ofisleri siber saldırıları takip ediyor Gönüllü olarak Okullar tarafından rapor edilmektedir (2021’den beri Ontario’da 24; 2020’den beri Nova Scotia’da üç). Bu arada Alberta, devlet okulu bölgelerinin 2020’den 2024’e kadar 184 ihlal bildirdiği genel gizlilik ihlallerini (siber olaylardan veya diğer nedenlerden kaynaklanan) sayıyor.
Rossem, “Siber güvenliğin bir takım sporu olduğunu söyleyebilirim” dedi ve zorunlu raporlama, bölgesel gizlilik düzenleyicisinin saldırılara maruz kalan kuruluşları daha iyi desteklemesine olanak tanıyacak.
Proaktif olma konusunda koruma
Wiens, okulların aynı zamanda finans veya sigorta gibi diğer sektörlerle karşılaştırıldığında BT ve siber güvenliğe daha az yatırım yapılmasından da zarar görebileceğini söylüyor.
En azından okul yönetimlerinin siber saldırılarla ilgili bir olay müdahale planı olması gerekiyor ancak bunların yaygınlığı göz önüne alındığında Kassim, riskleri azaltmak için başka proaktif önlemler de görmek istiyor.
Önerileri arasında öğrenci verilerinin toplanmasının yalnızca kesinlikle gerekli olanla sınırlandırılması, BT ekiplerinin kendi uygulama yanıt planları aracılığıyla çalıştırılması ve kaynakların ve en iyi uygulamaların birbirleriyle paylaşılması için daha sık işbirliği yapılması yer alıyor.
Qassim ayrıca okuldaki öğrenci verilerinin korunmasındaki boşlukları ortadan kaldırmak için hükümetin farklı düzeylerinde gizlilik mevzuatının güncellenmesi çağrısında bulunuyor.
Bu arada, siber saldırılar tamamen önlenemese de Kassim, yönetim kurullarının proaktif olarak yapabileceği çok şey olduğunu düşünüyor, “çünkü sadece kanunlar bunu yapmanız gerektiğini söylediği için değil, yapılması gereken doğru şey bu.”
Kurulları, öğrenciler ve personel tarafından kullanılan uygulamaların gizliliğini korumak için sıkı bir inceleme yapmaya ve üçüncü taraf sağlayıcılardan toplu olarak daha güçlü standartlar talep etmek için akranları ve eğitim bakanlıkları ile işbirliği yapmaya teşvik eder.
Bu özellikle Red Deer Public gibi savunmalarını güçlendirenlerin bile tehlikeye girdiği bu haftaki PowerSchool hack’i için geçerli. Departmanın teknik sorumlusu Eberts, çalışanlara yönelik aylık siber güvenlik farkındalık eğitimleri düzenlemek ve misafirleri ayrı ağlarda tutmak gibi iyileştirmeleri zaten yaptıklarını kaydetti.
Müşterilere düzenlenen bir brifing sonrasında, bu hafta meydana gelen saldırının teknik destek için kullanılan PowerSchool bakım hesabından geldiğini açıkladı.
Eberts, “Dersimizi aldık” dedi. “Tedarikçilerimize yönelik güvenlik gereksinimlerimizi de artırıyoruz.”
Torontolu baba Jack Amendolia, saldırılar olduğunda ailelerin daha dürüst ve güncel iletişime ihtiyaç duyduğunu söylüyor. Geçen yıl oğlunun okul yönetim kurulunda yaşanan bir olayın ardından, açıklama istedi ancak tipik yanıtlarla ve okul müdürü ve müfettişiyle kendi deyimiyle sinir bozucu görüşmelerle karşılandı.
“Bir nefeste büyük bir olay değilse biz güzeliz [sure] Bu hafta okul yönetim kurulunun bazen çelişkili mesajlarına atıfta bulunarak “Ciddi bir bilgi gelmedi, o halde neden karanlık ağda arama yapıyorsunuz?” diye belirtti. CBC röportajı yeni PowerSchool olayıyla ilgili bir e-postayla kesintiye uğradı.
Siber saldırıların olacağını söyledi.
“Tam olarak ne olduğu konusunda açık ve şeffaf olun ki tamamen farkında olalım, belki bu bizim ebeveynler olarak daha proaktif olmamızı sağlar.”