ความเปราะบางที่กำลังพัฒนาในภาคการศึกษา: องค์กรจะมีความยืดหยุ่นมากขึ้นได้อย่างไร

ในปี 2022 ภาคการศึกษาประสบกับการโจมตีทางไซเบอร์เพิ่มขึ้น 44 เปอร์เซ็นต์ ในสหราชอาณาจักรเพียงแห่งเดียว สถาบันอุดมศึกษา 6 ใน 10 แห่งรายงานว่าประสบกับการโจมตีหรือเจาะข้อมูลอย่างน้อยทุกสัปดาห์ จำนวนภัยคุกคามต่อภาคส่วนที่เพิ่มขึ้นนี้ทำให้เกิดการหยุดชะงักครั้งใหญ่ในการสอนและแม้กระทั่งบังคับให้โรงเรียนและมหาวิทยาลัยต้องปิดตัวลง

เมื่อต้องให้ความสำคัญกับการรักษาความปลอดภัยและการนำเทคโนโลยีล่าสุดมาใช้ ภาคการศึกษามักจะตามหลังอุตสาหกรรมหลักอื่นๆ อยู่เสมอ การขาดความเร่งด่วนนี้เป็นสาเหตุที่ทำให้การศึกษาเป็นเป้าหมายที่อ่อนแอ โรงเรียนหลายแห่งยังคงใช้เทคโนโลยีที่ล้าสมัยและไม่มีการป้องกันซึ่งง่ายต่อการแทรกซึม แม้จะไม่ใช่เป้าหมายที่มีเงินสดเป็นกอบเป็นกำ แต่สิ่งอำนวยความสะดวกเหล่านี้ก็มีข้อมูลส่วนบุคคลและข้อมูลทางการเงินมากมาย ซึ่งสามารถนำไปใช้ในการโจมตีในอนาคตหรือขายบนเว็บมืดได้

การละเมิดเหล่านี้ส่วนใหญ่เกิดจากปัจจัยหลายอย่างรวมกัน เช่น การใส่ข้อมูลประจำตัวมากเกินไป การจัดการรหัสผ่านที่ไม่ถูกต้อง และช่องโหว่ของซอฟต์แวร์ ดังนั้น ทั้งสถาบันการศึกษาและผู้ให้บริการ EduTech จะต้องมีบทบาทอย่างแข็งขันมากขึ้นในการปกป้องภาคส่วนนี้ ในขณะที่องค์กรจำเป็นต้องเพิ่มประสิทธิภาพแนวทางปฏิบัติด้านความปลอดภัยแบบดั้งเดิมและปรับปรุงการรับรู้ ผู้จำหน่าย EduTech ยังต้องพยายามเชื่อมช่องว่างนี้ด้วยการผสานรวมมาตรการรักษาความปลอดภัยเชิงรุกภายในโซลูชันและระบบของตน

​​ความเสี่ยงและความเปราะบางที่คุกคามภาคการศึกษา

เมื่อพูดถึงมาตรการรักษาความปลอดภัยของผลิตภัณฑ์ที่เพียงพอและการอัปเดต นักพัฒนา EduTech ไม่จำเป็นต้องทำเพียงพอในการปกป้องลูกค้าของตนจากการโจมตีทางไซเบอร์ที่สร้างความเสียหาย

ในการตรวจสอบล่าสุดของเรา Rapid7 พบช่องโหว่สำคัญที่ส่งผลกระทบต่อข้อมูลประจำตัวที่แคชในโซลูชันการเรียนรู้ผ่านเว็บของ Cengage ซึ่งเป็นหนึ่งในผู้ให้บริการ EduTech ชั้นนำในสหรัฐอเมริกา Cengage นำเสนอโซลูชั่นดิจิทัลมากมายแก่สถาบันอุดมศึกษา รวมถึง e-textbooks แพลตฟอร์มการเรียนรู้ออนไลน์ และเครื่องมือทำการบ้าน

ช่องโหว่ที่ระบุในไปป์ไลน์ Learning Tools Integration (LTI) สามารถอนุญาตให้ผู้คุกคามเข้าถึงเซสชันเบราว์เซอร์ของผู้ใช้หรือบันทึกของพร็อกซีเครือข่าย จากที่นั่น พวกเขาสามารถอ่านหรือเปลี่ยนแปลงข้อมูลส่วนตัวของนักเรียน หรือแม้กระทั่งอาจขโมยเซสชันของครูหรือผู้ดูแลระบบ

ไม่ใช่ว่าช่องโหว่ทั้งหมดจะมาจากผลิตภัณฑ์และโซลูชันของผู้จำหน่าย สถาบันการศึกษายังเป็นแหล่งรวมคอมพิวเตอร์ที่ใช้ร่วมกัน เป็นต้น นักเรียนและครูหลายคนมักจะใช้คอมพิวเตอร์เครื่องเดียวกันระหว่างกัน เพิ่มความเสียหายที่สามารถทำได้หากอุปกรณ์หรือบัญชีผู้ใช้บางอย่างถูกบุกรุก การศึกษาเมื่อเร็วๆ นี้พบว่าภาคการศึกษาระดับอุดมศึกษามีคะแนนต่ำที่สุดอย่างต่อเนื่องในด้านความตระหนักด้านความปลอดภัยเชิงรุก สิ่งนี้สร้างขอบเขตที่ค่อนข้างง่ายสำหรับนักคุกคามที่จะประนีประนอมเครื่องและใช้การเคลื่อนไหวด้านข้างเพื่อเข้าถึงผู้ดูแลระบบที่สูงขึ้นและบุกรุกเครือข่ายทั้งหมด

ผลกระทบของการโจมตีทางไซเบอร์ในภาคการศึกษา

ในภาคส่วนนี้ การขาดความตระหนักรู้และการกำกับดูแลจากนักพัฒนา EduTech อาจมีต้นทุนสูง และน่าเสียดายที่สุดท้ายแล้วนักเรียนและครูต้องจ่ายเงิน ผู้โจมตีมักมีเป้าหมายเพื่อขัดขวางการเข้าถึงทรัพยากรดิจิทัลที่จำเป็นในเครือข่ายของโรงเรียน ซึ่งอาจหยุดการเรียนรู้และการให้บริการ ทำให้นักเรียนไม่สามารถเข้าถึงการบรรยาย ส่งการบ้าน หรือเข้าถึงทรัพยากรที่สำคัญอื่นๆ ได้

ในหลายกรณี ผู้โจมตียังต้องการการชำระเงินค่าแรนซัมแวร์ ซึ่งทำให้สถาบันการศึกษาที่ประสบปัญหาอยู่แล้วอยู่ภายใต้ความตึงเครียดทางการเงินเพิ่มเติม ปีที่แล้ว วิทยาลัยลินคอล์นของรัฐอิลลินอยส์ถูกบังคับให้หยุดดำเนินการหลังจากการโจมตีของแรนซัมแวร์ที่เพิ่มพูนปัญหาทางการเงินภายหลังการแพร่ระบาดของโควิด-19 การโจมตีทำให้กิจกรรมการรับเข้าเรียนและข้อมูลของสถาบันหยุดชะงัก ดังนั้นจึงส่งผลกระทบอย่างมากต่อการคาดการณ์การลงทะเบียนสำหรับปีการศึกษาถัดไป

ในทำนองเดียวกัน มหาวิทยาลัยพอร์ตสมัธในสหราชอาณาจักรได้รับผลกระทบจากการโจมตีด้วยแรนซัมแวร์ที่บังคับให้ปิดวิทยาเขตบางส่วน และทำให้การเริ่มต้นภาคเรียนใหม่ล่าช้า ทำให้นักเรียนต้องรับมือกับความท้าทายของการแพร่ระบาดมากขึ้น

แม้ว่าการหยุดชะงักในการศึกษาระดับอุดมศึกษาอาจมีความสำคัญ ผลกระทบที่อาจเกิดขึ้นจากการโจมตีของแรนซัมแวร์ในโรงเรียนประถม อาจเป็นเรื่องไกลตัว โดยผู้ปกครองอาจต้องอยู่บ้านจากที่ทำงาน หากโรงเรียนของบุตรหลานถูกบังคับให้ปิด ทันใดนั้น การโจมตีทางไซเบอร์ไม่เพียงแต่ส่งผลกระทบต่อภาคการศึกษาเท่านั้น แต่ยังส่งผลกระทบต่อธุรกิจในอุตสาหกรรมต่างๆ อีกด้วย

การแสดงท่าทีเชิงรุก

นักพัฒนา EduTech ต้องรับผิดชอบมากขึ้นใน สนับสนุนภาคการศึกษาเพื่อป้องกันการโจมตีทางไซเบอร์ เทคโนโลยีที่จัดหาให้กับโรงเรียน มหาวิทยาลัย และสถาบันการสอนอื่น ๆ จะต้องได้รับการปรับปรุงอย่างสม่ำเสมอ และต้องแก้ไขช่องโหว่โดยเร็วที่สุด ต้องสร้างกระบวนการที่ดีขึ้นสำหรับการรายงานช่องโหว่และแพตช์ที่ทันท่วงที และควรคงไว้ซึ่งการสื่อสารที่รัดกุมเมื่อมีการอัปเดต

นักการศึกษาควรถามคำถามที่เจาะจงกับผู้จำหน่ายเทคโนโลยีเกี่ยวกับประสบการณ์ในการพัฒนาซอฟต์แวร์ที่ปลอดภัย กระบวนการรายงานช่องโหว่ และรอบแพทช์ทั่วไป การมีโปรแกรมเปิดเผยข้อมูลช่องโหว่ (VDP) ที่เผยแพร่เป็นตัวบ่งชี้ที่ดีเยี่ยมว่าบริษัทตระหนักถึงแนวทางปฏิบัติเกี่ยวกับช่องโหว่ที่ทันสมัย

การรักษาความปลอดภัยให้กับโรงเรียนอาจเป็นเรื่องที่ท้าทายเนื่องจากงบประมาณที่จำกัด และความขัดแย้งที่อาจเกิดขึ้นระหว่างแนวคิดด้านความปลอดภัย เช่น ผู้รับมอบฉันทะ และไฟร์วอลล์และเสรีภาพทางวิชาการ อาจมีภัยคุกคามภายในเพิ่มเติมจากแฮ็กเกอร์นักเรียนผู้ป่วยที่พยายามโจมตีเครือข่ายของตนเอง การทำงานร่วมกันระหว่างผู้ให้บริการ EduTech และนักการศึกษาเป็นสิ่งจำเป็นเพื่อให้แน่ใจว่าทั้งสองฝ่ายเข้าใจถึงความสำคัญของการออกแบบเครือข่ายที่ปลอดภัยและกระบวนการรายงานช่องโหว่ที่โปร่งใส

การแบ่งส่วนเครือข่ายเป็นวิธีที่มีประโยชน์ในการป้องกันการเคลื่อนไหวด้านข้างโดยผู้โจมตีและยับยั้งการละเมิดภายใน เครือข่าย ผู้ให้บริการการศึกษาควรได้รับการเตือนถึงหลักปฏิบัติด้านสุขอนามัยไซเบอร์ที่ดี เช่น การใช้คอมพิวเตอร์ร่วมกันและความยาวของรหัสผ่าน การนำแนวปฏิบัติที่ดีขึ้นไปใช้ทั่วทั้งสถาบันการสอนสามารถมีผลกระทบอย่างมากต่อการป้องกันการโจมตี รหัสผ่านที่ซับซ้อนมากขึ้นและเวิร์กสเตชันที่ใช้ร่วมกันที่ล็อกไว้สามารถให้การป้องกันการโจมตีได้ดีกว่าที่หลายๆ คนอาจทราบ

แนวปฏิบัติเชิงรุกเหล่านี้ พร้อมด้วยสุขอนามัยในโลกไซเบอร์ที่ดีขึ้นจากสถาบันการศึกษา สามารถสร้างความยืดหยุ่นและช่วยให้องค์กรหลีกเลี่ยงการหยุดชะงักอย่างต่อเนื่อง การสอนและการปิดที่อาจเกิดขึ้นจากผลกระทบของการโจมตีทางไซเบอร์

เครดิตรูปภาพ: Rawpixel/depositphotos.com

Tod Beardsley เป็นผู้อำนวยการฝ่ายวิจัยของ Rapid7