Информационная безопасность в образовательной организации

Автоматизация, искусственный интеллект, цифровые платформы значительно упрощают нашу жизнь, но вместе с тем предъявляют особые требования к безопасности информации, с которой мы взаимодействуем в виртуальном пространстве.

Особенно остро встает вопрос обеспечения информационной безопасности (ИБ) в образовательной среде: в учебных заведениях хранится огромное количество электронных данных. Взлом или нарушение работы IT-инфраструктуры организации может не только отразиться на репутации, но и скомпрометировать персональные сведения учащихся и преподавателей.

К информации, которую важно защищать в образовательных учреждениях, относятся:

• личные данные учащихся, преподавательского состава, персонала, оцифрованные архивы;

• информация, обеспечивающая образовательный процесс — базы данных, библиотеки, обучающие программы и т. д.;

• интеллектуальная собственность учебного заведения — например, научные или художественные произведения, изобретения или селекционные достижения преподавателей.

Отличительная особенность обеспечения информационной безопасности в образовании — в том, что защитные меры должны быть направлены не только на сохранность сведений, но и на защиту учащихся от любых видов пропаганды, манипуляций и информации, запрещенной законом.

Информационная безопасность в образовательной организации решает две ключевые задачи:

• Защита конфиденциальности, целостности и доступности данных. 

• Защита обучающихся от рисков, связанных с причинением вреда их физическому, психическому и нравственному развитию.

Угрозы информационной безопасности в образовательных организациях могут быть намеренными и случайными: хищение или повреждение целостности сведений преступниками в случае атаки — осознанная угроза, а студент, который без злого умысла повредил программное обеспечение, заразив систему вирусом, — случайная. 

Случайные угрозы возникают из-за:

• ошибок персонала;

• аварийных ситуаций (стихийных бедствий, отключения электроэнергии);

• сбоев в работе ПО;

• проблем в работе систем связи;

• выхода техники из строя.

Можно выделить ключевые типы воздействия, актуальные для киберугроз по отношению к образовательным учреждениям:

• Вредоносные программы — вирусы, троянцы, программы-вымогатели, рекламное ПО. Способны не просто нарушить работоспособность организации, с их помощью преступники могут вымогать деньги, потому на всех устройствах учащихся должна быть установлена новая антивирусная защита. 

• Отказ в обслуживании (DDoS-атаки) — хакерские атаки на информационный ресурс (например, веб-сайт) с целью сделать его недоступным. Например, когда на один сайт отправляет запросы огромное количество компьютеров, в результате чего может произойти «отказ в обслуживании» — сайт станет недоступным. 

• Фишинг — одна из самых популярных форм интернет-мошенничества. Угрозу информационной безопасности для образовательного учреждения представляют фишинговые электронные письма — сообщения, которые могут сбить с толку учеников и предоставить мошенникам конфиденциальную информацию (логины и пароли). Учащиеся открывают такие письма, переходят по вредоносным ссылкам и позволяют мошенникам завладеть доступом к системе. 

Многие кибератаки начинается с получения несанкционированного доступа — противоправных действий, в результате которых конфиденциальная информация оказывается в руках преступников. Такой доступ опасен не только хищением и изменением сведений, но и тем, что преступники могут внедрить дистанционно управляемое программное обеспечение — под угрозой окажется система ИБ в целом. Возникнет риск потери управления, мошенники смогут заблокировать доступ к данным или снять копии для дальнейшего незаконного использования.

Виды несанкционированного доступа:

• Человеческий — хищение информации путем копирования на внешние носители, отправки по электронной почте или внесения изменений в базы данных вручную, при наличии физического доступа к серверу.

• Программный — использование специального ПО для копирования паролей, перехвата данных, дешифровки, перенаправления трафика и т. д.

• Аппаратный — использование спецоборудования для хищения сведений или внесения изменений, например, оборудование для перехвата электромагнитных сигналов.

Kaspersky Security для бизнеса

Многоуровневая защита рабочих мест

Попробовать

Обеспечение информационной безопасности в образовательной организации включает в себя пять направлений: правовое регулирование, морально-этические, административные, организационные, физические и технические меры защиты. 

Законодательство четко разграничило сведения, которые требуется защищать от постороннего вмешательства третьих лиц. Это персональные данные, конфиденциальная информация, служебная или коммерческая тайна. 

В соответствии с законом от 29.12.2010 № 436-ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию», информация, с которой взаимодействует ребенок в процессе обучения, должна соответствовать его возрасту по содержанию и художественному оформлению.

Закон от 24.07.1998 № 124-ФЗ «Об основных гарантиях прав ребенка» обязывает образовательные учреждения ограничивать доступ учащихся к интернет-ресурсам, транслирующих жестокость и насилие, наркоманию, антиобщественное поведение.

Информационная безопасность организаций регулируется также ГОСТом 50922-2006 «Защита информации», который определяет обеспечение ИБ как ряд комплексных мер, включающих в себя нормативно-правовые акты и морально-этические методы защиты в целях противодействия угрозам извне. 

В качестве защитной меры выступает запрет доступа к информации этически некорректного, противозаконного и травмирующего характера в образовательном учреждении.

Источники воздействия на личность:

• распространение неполной, недостоверной и искаженной информации;

• намеренное информационное давление с целью изменения мировоззрения и морально-психологического состояния личности;

• использование неадекватного восприятия достоверной информации.

В целях защиты от пропаганды информационная безопасность в образовательной организации должна соответствовать нормам закона «Об основных гарантиях прав ребенка», закрепляющих его право на защиту от сведений, которые могут причинить моральную травму.

Внутренние регламенты, правила и методики составляют комплекс административно-организационных мер, которые закрепляют порядок обращения с информацией и ее носителями. Это значит, что организация должна разработать: 

• должностные инструкции; 

• концепции обеспечения ИБ;

• правила взаимодействия с уполномоченными органами по запросам о предоставлении данных;

• перечни информации, не подлежащей распространению и т. д.

В домашних условиях защитить ребенка от нежелательной информации поможет система родительского контроля над ресурсами сети Интернет.

Умная защита среднего бизнеса Kaspersky Smart

Новая линейка решений для умной защиты среднего бизнеса

Купить

За данные средства обеспечения ИБ должно отвечать руководство учебного заведения и IT-специалисты.

Физические средства защиты информации — это механическое и электронное оборудование, которое работает независимо от системы информационной безопасности и ограничивает доступ к данным, предотвращая физические кражи и поломки. Важно обеспечить защиту снаружи, чтобы злоумышленник не смог пройти в серверную, похитить жесткие диски с информацией или повредить устройства.

К физическим средствам защиты относятся:

• замки — в том числе, электронные;

• системы контроля и управления доступом — определяют требования доступа сотрудников в конкретные помещения;

• экраны и жалюзи — создают препятствия для визуального съема информации с систем обработки данных; 

• системы видеонаблюдения — отслеживают перемещения сотрудников, могут зафиксировать неправомерное проникновение в защищаемые помещения. 

Информационная безопасность организаций в качестве физической меры защиты также предполагает обязательное копирование данных на носители, не имеющие доступа к сети Интернет. Важно не просто установить пароль, но и их регулярно обновлять их.

Самая распространенная и многочисленная группа средств защиты информации — технические меры. Это программное обеспечение против угроз информационной безопасности. 

База кибербезопасности образовательного учреждения — это защита конечных точек (Kaspersky Security для бизнеса). 

DLP модуль — встроенный в решение Kaspersky Security для бизнеса, защищает от утечки, обеспечивая комплексную безопасность IT-инфраструктуры организации. Анализируя информацию на ее принадлежность к конфиденциальным данным, модуль DLP блокирирует передачу подобной информации — с его помощью можно установить, кто, когда и куда пытался передать ценные сведения.

Защита веб-трафика и почтовых серверов — с помощью Kaspersky Security для веб-шлюзов и Kaspersky Security для почтовых серверов. 

Чтобы эффективно противостоять DDoS-атакам (хакерским угрозам, блокирующим работу сайта организации), нужно как можно быстрее их обнаруживать — решение Kaspersky DDoS Protection борется с атаками с помощью передовой аналитики и специальной защитной инфраструктуры «Лаборатории Касперского». Программа мониторит и выявляет DDoS-угрозы на ранней стадии, опережая действия преступников.

Крупные образовательные учреждения имеют большое количество разных каналов коммуникации, а значит, нуждаются в инстрментах более экспертного уровня обеспечения безопасности — SIEM-систем. 

Для организации эффективной защиты ИБ в школе важно:

• Разработать и внедрить политику безопасности — системы правил, принципов и процедур, которые распространяются как на учащихся, так и на сотрудников учреждения. Цель политики — ограничение детей от нежелательного контента и защита персональных данных.

• Обучить персонал и детей способам работы с информацией — например, педагогам важно знать парольные правила, уметь пользоваться антивирусами. Также сюда входит обучение детей основам ИБ, воспитание информационной культуры через уроки компьютерной грамотности и классные часы, посвященные безопасному поведению в сети.

• Защитить компьютеры от несанкционированного воздействия (вирусы, хакерские атаки и т. д.) — через использование программно-технических мер защиты компьютерной техники, своевременное обновление таких программ.

• Применять сложные и уникальные пароли — надежный пароль состоит из 8–12 символов и имеет в своем составе не только цифры, но и буквы, знаки препинания и т. п. Важно также менять пароли хотя бы раз в месяц.

• Регулярно проводить резервное копирование — это обеспечивает защиту сведений от случайных сбоев и аварий, а также киберугроз.

• Обновлять школьное ПО — антивирусы, операционные системы, приложения важно обновлять, чтобы уменьшить риск взлома и улучшить систему защиты в целом.

• Настроить контроль доступа — руководству школы следует определить, доступ к каким сервисам нужно ограничить.

• Обеспечить защиту Wi-Fi — школе нужно защищать сеть Wi-Fi паролем и шифрованием данных, а также ограничивать число устройств, которые имеют к ней доступ.

• Проводить аудит ИБ — администрация школы должна оценивать уровень защищенности IT-инфраструктуры. Аудит предусматривает проверку организационно-распорядительных документов (приказы, распоряжения) в области обеспечения ИБ, сетевого оборудования, работы межсетевых экранов и систем защиты периметра сети и др. Проверка покажет, насколько школьная IT-инфраструктура защищена от несанкционированного доступа и внешних угроз.

• Правильно утилизировать данные — важно не только безопасно обрабатывать и хранить информацию, но и безопасно уничтожать ее в связи с истечением срока хранения. 

• Взаимодействовать с родителями — школа должна помогать родителям в вопросах защиты ИБ, например, предоставлять сведения про ресурсы о безопасности в интернете.

Гарантия высокого уровня информационной безопасности — одно из важных задач образовательного учреждения. Информация всегда воздействует на своего адресата, в школах это влияние особенно широко. 

Современному образованию важно качественно подготовить подрастающее поколение в условиях информационно развитого общества — обеспечить надежную защиту не только персональных данных, которые хранятся в школах, но и защитить учащихся от любых проявлений пропаганды и манипуляций. 

Kaspersky Automated Security Awareness Platform

Это удобная и эффективная онлайн-платформа для повышения осведомленности сотрудников в области IT-безопасности

Купить

Реклама: АО «ЛАБОРАТОРИЯ КАСПЕРСКОГО», ИНН 7713140469, erid: LjN8KCTQc