Como os distritos escolares independentes (ISDs) podem evitar violações de dados

Os distritos escolares independentes (ISDs) são o alvo perfeito para os cibercriminosos porque suas redes geralmente são mal protegidas. Muitas escolas têm práticas de segurança inadequadas devido à falta de educação, treinamento ou financiamento. ISDs são instituições de ensino primário e secundário com financiamento público, incluindo escolas de ensino fundamental, médio e médio.

Um estudo da Microsoft Security Intelligence descobriu que 61% dos ataques de malware ocorrem no setor educacional, tornando-o o setor mais afetado por uma grande margem. À medida que os distritos escolares continuam a fazer a transição para um ambiente de aprendizado digital com forte dependência da tecnologia após a pandemia do COVID-19, eles devem aprender as melhores práticas para evitar que violações de dados e ataques cibernéticos aconteçam.

Este artigo discutirá como os ISDs podem começar a construir sua postura de segurança e começar a implementar fortes práticas de segurança e privacidade de dados.

Por que os distritos escolares independentes (ISDs) estão sendo visados?

Os ISDs são alvos fáceis para cibercriminosos e hackers porque atualmente não há lei federal para os distritos protegerem seus dados ou relatarem violações de dados. De acordo com a FERPA (Lei de Privacidade e Direitos Educacionais da Família), a lei não exige que as escolas notifiquem os alunos ou pais sobre uma violação de dados se suas informações forem roubadas.

Muitas escolas públicas também operam com financiamento mínimo, o que significa que a segurança cibernética costuma ser a primeira área a ser cortada para se concentrar em pessoal, recursos e eventos. Em muitos casos, as escolas não empregam um profissional ou equipe de TI para supervisionar a segurança da rede.

Os sistemas escolares geralmente contêm grandes quantidades de dados confidenciais em seus sistemas de computador, como:

Dados dos alunos
Informações de contato dos pais e responsáveis
Registros de funcionários e funcionários
Dados de saúde
Planos propostos

Qualquer pessoa que coloque as mãos em informações importantes do distrito escolar ou informações de identificação pessoal (PII) dos alunos pode manter os dados para resgate, vendê-los diretamente a terceiros ou publicá-los na dark web. Os alunos também podem se tornar vítimas de roubo de identidade infantil se informações confidenciais como números de Seguro Social (SSN), datas de nascimento e endereços vazarem.

Os tipos mais comuns de ataques cibernéticos que afetam os ISDs são:

Ataques de phishing por e-mail
Ataques de ransomware
Ataques de malware
Ataques DDoS (negação de serviço distribuída)

Como os distritos escolares independentes (ISDs) podem evitar violações de dados?

A maioria dos ataques cibernéticos começa com treinamento de segurança deficiente e erro humano. Infelizmente, esse problema persiste em todo o país, e muitos distritos escolares não têm a estrutura de segurança para lidar com esses ataques. Ao tomar as seguintes ações, os ISDs podem mitigar o risco de violação de dados e impedir que os agentes de ameaças roubem dados pessoais.

1. Estabeleça um programa de treinamento em segurança cibernética

O primeiro passo para qualquer plano de segurança forte é educar professores, funcionários distritais e até mesmo alunos sobre práticas seguras de segurança de dados. Ao aprender diferentes vetores de ataque e vulnerabilidades, cada usuário de endpoint pode ajudar a fortalecer a segurança cibernética geral de seu distrito escolar.

Um programa de treinamento pode incluir:

Reconhecendo golpes de phishing
Praticando navegação segura na web
Criando senhas fortes
Usando apenas redes Wi-Fi seguras
Manter todos os sistemas e aplicativos atualizados
Como configurar firewalls ou VPNs

O estado do Texas implementou um dos primeiros exemplos de um programa de treinamento bem-sucedido em 2019. Após um número recorde de ataques cibernéticos e violações de dados no ano letivo anterior, a legislatura do Texas exigiu que os funcionários do ISD concluíssem um programa anual de treinamento em segurança cibernética certificado pelo Departamento de Recursos de Informação do estado.

Além disso, cada distrito escolar é obrigado a contratar um coordenador de segurança cibernética designado para gerenciar e relatar todos os incidentes cibernéticos. O coordenador deve supervisionar todo o plano de segurança do distrito e relatar quaisquer incidentes cibernéticos às autoridades policiais.

2. Realize uma avaliação de risco cibernético

Antes de implementar qualquer política de segurança cibernética, o conselho escolar precisa realizar uma avaliação de risco cibernético para identificar todas as vulnerabilidades e possíveis ameaças cibernéticas na infraestrutura de segurança e rede da escola. As avaliações de risco devem ser realizadas anualmente para manter os sistemas atualizados e protegidos contra o cenário de ameaças cibernéticas em constante mudança.

Algumas questões que devem ser levantadas durante o processo incluem:

Quais são as vulnerabilidades internas e externas?
Qual é o impacto se essas vulnerabilidades forem exploradas?
Qual a probabilidade de essas vulnerabilidades serem exploradas?
Quais conjuntos de dados são nossos ativos mais importantes?
Quais funções, se afetadas, afetam diretamente a capacidade da escola de funcionar ou operar?

Saiba mais sobre como realizar uma avaliação de risco cibernético aqui.

3. Crie um plano de resposta a incidentes de segurança cibernética

Caso ocorra uma violação de dados, é importante ter um plano de resposta a incidentes de segurança cibernética pronto. Um plano de resposta a incidentes ajuda a delinear um conjunto específico de instruções no caso de um ataque. Uma vez que um plano de segurança é estabelecido, o distrito deve incorporá-lo ao processo de integração e treinamento para garantir que todos os funcionários e funcionários envolvidos saibam as etapas exatas a serem seguidas.

Como não existe apenas uma forma de ataque cibernético, as escolas devem implementar vários planos de resposta a incidentes para lidar com diferentes ações de mitigação. Por exemplo, a implementação de soluções de proteção contra perda de dados (DLP) pode fornecer correção em tempo real, monitoramento de tráfego e relatórios de incidentes.

Saiba mais sobre como criar um plano de resposta a incidentes de segurança cibernética aqui.

4. Atualize os sistemas e tecnologias legados

Muitas escolas K-12 ainda usam hardware e software desatualizados com funções limitadas e riscos de segurança aumentados. Como muitos ISDs são subfinanciados, eles não têm opção a não ser usar computadores e sistemas operacionais (SO) antigos. No entanto, isso apresenta grandes riscos de segurança caso um agente mal-intencionado decida atacar as redes escolares e roubar dados do distrito escolar.

Os conselhos escolares precisam encontrar uma maneira de priorizar os gastos com tecnologia não apenas para fornecer soluções de segurança cibernética mais fortes, mas para que os alunos trabalhem com mais eficiência. Embora muitas escolas tenham atualizado seus sistemas durante a pandemia, ainda há escolas ficando para trás.

5. Implemente as melhores práticas de segurança

Práticas de segurança inadequadas ainda podem colocar em risco toda a rede de computadores da escola, mesmo com protocolos de segurança fortes, um programa de treinamento em segurança cibernética e um plano de resposta a incidentes.

Segurança de rede em camadas - A rede de um distrito escolar deve ter várias camadas de segurança para impedir o acesso fácil a diferentes conjuntos de dados. Uma rede plana permite que os hackers circulem livremente dentro do sistema assim que entrarem, tornando quase impossível detectar ou parar antes que seja tarde demais.
Autenticação 2FA ou MFA - Uma das maneiras mais fáceis de melhorar a segurança é exigir autenticação de dois fatores ou multifator para contas de usuário. Os processos de autenticação exigem que os usuários verifiquem sua identidade antes de acessar qualquer dado e podem filtrar usuários não autorizados.
Software antivírus ou antimalware - O software antivírus geralmente é a primeira linha de defesa ao detectar e remover programas maliciosos. Com jovens estudantes navegando livremente na Internet, o software antivírus pode ajudar a proteger suas práticas de navegação.
Backups de dados - Quando se trata de dados importantes, como informações do aluno, é uma boa prática fazer backup dos dados de forma consistente. Ao ter vários backups de dados, se a rede ou os servidores forem comprometidos, as escolas podem limpar o servidor e reiniciar a partir de uma fonte de backup para continuar operando e não correr o risco de perder tudo.

Violações notáveis de dados ISD

Em 2021, uma grande violação de dados no Distrito Escolar Independente de Dallas expôs SSNs e informações pessoais dos funcionários. Dados pessoais de mais de 230 escolas e 145.000 alunos foram comprometidos, o que levou à renúncia do CISO do Dallas ISD.
Em março de 2022, informações de mais de 820.000 alunos atuais e ex-alunos na área da cidade de Nova York foram expostas devido a um fornecedor terceirizado comprometido. O fornecedor, Illuminate Education, não conseguiu implementar nenhuma medida de segurança, fornecendo um vetor de ataque fácil para hackers.
Como a Illuminate Education também trabalhou com os distritos escolares de Chicago e Los Angeles, em junho de 2022, as escolas desses dois distritos escolares também foram afetadas por violações de dados. Los Angeles, Nova York e Chicago são os três maiores ISDs do país.