De cyberveiligheid van leerlingen is van groot belang voor de samenleving van morgen

Dit zijn slechts een paar voorbeelden van de vele onderwijsinstellingen die slachtoffer zijn geworden van cybercrime het afgelopen jaar. Onderwijsinstellingen zijn dan ook een interessante target voor cybercriminelen omdat onderwijsinstellingen over enorm veel persoonlijke data beschikken. Denk hierbij aan schoolprestaties, adressen, bankgegevens, telefoonnummers en gegevens van ouders. Deze gegevens worden doorverkocht of misbruikt om vervolgens andere cyberaanvallen op te zetten. Daarnaast weten cyberciminelen dat onderwijsinstellingen erg afhankelijk zijn van technologie. Als ze geen toegang hebben tot hun netwerk kunnen ze bijvoorbeeld geen examens afleggen, niet communiceren of geen dossiers van leerlingen inzien. Hierdoor is de kans groot dat ze losgeld betalen bij een ransomware aanval. Bij Universiteiten en hogescholen zijn bovendien veel (vertrouwelijke) onderzoeken te vinden die interessant zijn om door te verkopen.

Daarnaast brengen studenten vaak hun eigen apparaten mee en worden lessen vanaf verschillende locaties gegeven. Dit komt ten goede aan de gebruiksvriendelijkheid, maar niet aan de beveiliging van het netwerk. Cybercriminelen weten dit als geen ander en maken dan ook graag misbruik van deze wetenschap. Bovendien hebben ze meestal geen flinke budgetten, zoals grote bedrijven, om zich te beveiligen. Hierdoor stellen ze soms noodzakelijke maatregelen uit om risico’s te voorkomen.

Traditionele securitymaatregelen voldoen niet voor scholen

Onderwijsinstellingen vragen een iets andere security aanpak dan reguliere organisaties. Dit komt met name omdat de meest scholen gebruik maken van twee verschillende netwerken. Eén netwerk is bedoeld voor de medewerkers van de onderwijsinstelling (het administratieve netwerk). Het andere netwerk is beschikbaar gesteld voor de leerlingen (het leerlingennetwerk). Dit netwerk bestaat vaak uit een aantal computers in computerlokalen, werkplekken waar leerlingen hun eigen laptop op tablet aan het systeem kunnen hangen en natuurlijk een wifi-netwerk, waarmee leerlingen overal in de school draadloos met hun eigen device kunnen werken. Een traditionele security oplossing is daarom niet voldoende om een school te beveiligen. Bovendien zijn de IT-netwerken van scholen vaak aan veranderingen onderhevig. Het is daarom belangrijk om constant op de hoogte te zijn welke software en apparaten worden gebruikt op het netwerk.

Een endpoint oplossing die centraal te beheren is, verhoogt het beveiligingsniveau en de kwaliteit van het autorisatiebeheer. In veel gevallen zijn echter aanvullende maatregelen nodig op het gebied van securitysoftware. Er kunnen bijvoorbeeld whitelisting methodes worden toegepast om het gebruik van ongewenste applicaties te voorkomen. Op deze manier krijgt alleen geautoriseerd personeel toegang tot bepaalde delen van het netwerk. Bij kritieke infrastructuur, waar bijvoorbeeld persoonlijke informatie van leerlingen is opgeslagen, is het nuttig om een extra laag beveiliging te creëren in de vorm van multi-factor authentication.

Om cyberaanvallen te voorkomen is het cruciaal dat de software constant geüpdatet is middels consistent patchbeheer. Vooral bij apparatuur die verbonden is met het netwerk, is updaten noodzakelijk. Controleer daarom bij de fabrikant van de apparatuur hoe vaak deze zijn software patcht en of de broncodes beschikbaar zijn. Bovendien moeten audits, software-escrow (overeenkomst die garanties geeft bij faillissement softwareleverancier) of open source development deel uitmaken van het onderhoudscontract.

Vaak gebruiken medewerkers apparaten op de verkeerde manier omdat ze de systemen en procedures te omslachtig vinden. Het personeel beseft vaak niet dat securityoplossingen zijn afgestemd met specifieke technologieën of (Cloud) oplossingen. Als dit niet in balans is kan de veiligheid van het netwerk in gevaar komen. Zorg er daarom voor dat iedereen binnen de organisatie alert en kritisch is over verdachte mails en dat medewerkers niet zomaar vertrouwelijke gegevens doorgeven. Op deze manier kan worden voorkomen dat gegevens van leerlingen op straat komen te liggen. Meestal geven onderwijsinstellingen medewerkers en leerlingen een cursus of workshop, maar dat is niet genoeg om échte cyberbewustwording te creëren. Om échte cyberbewustwording te creëren moet cybersecurity een alledaags onderdeel zijn van de organisatie. De kracht van herhaling is hierbij cruciaal. Door steeds opnieuw aandacht te besteden aan het gewenste gedrag blijft het onderwerp top-of-mind en wordt er gewerkt aan een positieve beveiligingscultuur. Een e-learning training, zoals de G DATA Security Awareness Trainings, is hier ideaal voor. Iedere medewerker moet bewust zijn van de risico’s en zijn gedrag willen aanpassen ten behoeve van de cyberveiligheid.

Indien een onderwijsinstelling getroffen wordt door een cyberaanval en hierdoor met downtime te maken krijgt, kan dit een enorme impact hebben. Onderwijsinstellingen doen er daarom verstandig aan om een beleidsplan en een incident response plan te ontwikkelen. Op deze manier kan iedereen binnen de school nalezen hoe ze met de technologie moeten omgaan en kunnen er snel en accuraat beslissingen worden genomen bij een incident.

Bij een aanval maken veel organisaties gebruik van oplossingen zoals Deep Freeze, waarmee systeeminstellingen zijn terug te draaien naar de originele staat. Dergelijke oplossingen wekken echter vaak een vals gevoel van veiligheid op, omdat er wordt gedacht dat de virussen ook meteen zijn verdwenen als de systeeminstellingen zijn teruggezet. Het is namelijk nog altijd mogelijk dat het netwerk besmet raakt en dat hierdoor de besmetting zelfs mee naar huis wordt genomen. Het is daarom belangrijk om bij een dergelijke oplossing altijd endpoint security software te laten draaien en de laatste updates uit te voeren.

Maak daarnaast ook altijd een back-up. Een veelvoorkomende fout is dat onderwijsinstellingen maar één back-up maken. Dit is risicovol omdat cybercriminelen soms ook de back-up versleutelen bij een ransomware aanval. Het is daarom verstandig dat organisaties altijd de 3-2-1 regel toepassen. Deze regel houdt in dat er altijd een back-up moeten worden gemaakt op twee verschillende opslagmedia en dat er daarnaast één kopie is op een externe fysieke locatie. Maak ook regelmatig offline back-ups, want gekoppelde back-ups kunnen ook worden geïnfecteerd. Door de externe harddisk na de back-up los te koppelen van de computer krijgt eventuele malware geen kans om de back-up te infecteren.

Indien er gebruik gemaakt wordt van een back-up server, is het belangrijk om te controleren hoe je back-up systeem bestanden schrijft op de harde schijf. De slechtst mogelijke plaats om je back-upgegevens op te slaan is bijvoorbeeld E: \ back-ups. Cybercriminelen zoeken vaak naar specifieke mappen waar de back-ups te vinden zijn. Zorg er daarom voor dat ze niet toegankelijk zijn via het bestandssysteem. Ransomware richt zich specifiek op mappen met dergelijke namen en kunnen zo je back-ups versleutelen. Dit betekent dat je een manier moet bedenken om back-ups op te slaan, zodat het besturingssysteem die back-ups niet als bestanden ziet. De meeste back-up oplossingen beschikken over opties om dit te realiseren.

Cyberveiligheid voor de samenleving van morgen

Hoewel er helaas geen eenvoudige trucjes zijn om cybercrime bij onderwijsinstellingen te voorkomen, kan een solide verdediging en een set aan organisatorische en technische maatregelen al een heleboel ellende voorkomen. Daarnaast is het belangrijk dat iedereen, van docenten, leerlingen tot ondersteunend personeel, op de hoogte is van de risico’s en deze ook kan herkennen. De cyberaanvallen van afgelopen jaar bevestigen dat kennis bij de meeste medewerkers ontbreekt. Overheden en de onderwijssector zullen daarom meer middelen beschikbaar moeten stellen om cyberaanvallen te voorkomen, waardoor er sneller geanticipeerd kan worden om de risico’s te verminderen. De cyberveiligheid van leerlingen is immers van groot belang voor de samenleving van morgen.

Jihane Abid, International Account Manager bij G DATA CyberDefense