Miksi korkea-asteen koulutuksen on kehitettävä tietotekniikkaa ja kybersietokykyä

Ison-Britannian korkeakoulut ovat erittäin arkaluonteisten henkilötietojen ja maailmanluokan tutkimuksen vartijoina suosittuja kohteita kyberrikollisille ja kansallisvaltioille. Se pitäisi laittaa kyberkestävyys aivan huipulla alan CISO:n prioriteettilistalla. Mutta kuten äskettäinen CrowdStrike-seisokki korosti, korkeakoulusektorin tulisi olla varautunut muuhunkin kuin vain uhkatoimijoihin.

Kyberresilienssi on olennainen osa liiketoiminnan jatkuvuutta, mutta korkeakoulujen hallinnoimaan tietoon ja niiden tarjoamiin palveluihin liittyy myös muita riskejä, joita on myös hallittava. Onneksi ISO 27001 voi myös auttaa turvaamaan tietojärjestelmien käytettävyyden, luottamuksellisuuden ja eheyden odottamattomien häiriöiden sattuessa.

Mitä tapahtui?

Kuvattu mahdolliseksi maailman pahin IT-katkos, CrowdStrike-tapaus johtui yrityksen Falcon-päätepisteen suojaustyökalun viallisesta päivityksestä, mikä aiheutti laajalle levinneitä ongelmia ohjelmistoa käyttävissä Microsoft Windows -tietokoneissa. Vaikka vaikutus vaikutti alle yhteen prosenttiin maailmanlaajuisista Windows-päätepisteistä, tämä vastasi yli kahdeksaa miljoonaa konetta, joista monet toimivat kriittisissä palveluissa sairaaloissa, lentoyhtiöissä ja korkeakouluissa.

Mukaan raportitKatkos vaikutti palveluihin Iso-Britannian korkeakouluissa, mukaan lukien Manchesterin, East Anglian, Oxford Brookesin, Lancasterin ja Astonin yliopistot. Monet muut Myös Atlantin toisella puolella on vaikutusta, sillä opiskelijaportaalit suljettiin ja jotkut pakotettiin sulkemaan kesäluokat. Jos vastaava tapaus olisi tapahtunut lukukauden aikana, häiriö olisi voinut olla paljon pahempi.

Resilienssin rakentaminen

Ison-Britannian yliopistot ovat olleet takajaloilla uhkatekijöitä vastaan ​​jo jonkin aikaa. mukaan hallitus97 % korkeakouluista havaitsi tietomurron tai kyberhyökkäyksen viimeisen vuoden aikana, ja kuusi kymmenestä väitti, että se oli vaikuttanut heihin kielteisesti. Monimutkaisten hajautettujen verkkojen ja suuren henkilöstö- ja opiskelijamäärän yhdistelmä, jotka tarvitsevat avointa Internet-yhteyttä, muodostaa laajan hyökkäyspinnan puolustamiseen. Ransomware-ohjelmat, tietojenkalastelu, valtion tukemat tietovarkaudet ja tietojen varastaminen ovat yleisiä. Ja jatkuvat taloudelliset paineet vaikeuttavat CISO:n priorisoimista, mihin menot tulisi keskittyä.

Asiantuntijat uskovat kuitenkin, että CrowdStrike-tapahtuman pitäisi olla katalysaattori laajemmalle keskustelulle IT-sietokyvystä, joka ylittää haitallisten kybertapahtumien ehkäisemisen, havaitsemisen ja niihin vastaamisen. IT-hallinnan palveluyrityksen Axians UK:n teknologiajohtajan Chris Gilmourin mukaan tällaisten tapahtumien suunnittelun tulisi tapahtua tavanomaisten kyberhygieniaan liittyvien korjaustoimien, monitekijätodennuksen (MFA) ja verkkoon pääsyn rajoittamisen ohella.

"Katastrofin toipumissuunnitelmien säännöllinen testaus ja varautumissuunnitelma "vasemman kentän" haasteisiin on olennaista sen varmistamiseksi, että ne ovat tehokkaita kriisitilanteissa", hän kertoo ISMS.online-sivustolle. "On myös uskomattoman tärkeää edistää turvallisuustietoisuuden kulttuuria henkilöstön ja opiskelijoiden keskuudessa, mikä voi auttaa estämään tietomurtoja ja lieventämään niiden vaikutuksia."

Trend Micro UK & I:n tekninen johtaja Bharat Mistry lisää, että HE:n liiketoiminnan jatkuvuussuunnitelmien tulisi kattaa IT, viestintä, tietojen käyttö ja opetus.

"Näissä suunnitelmissa tulisi tunnistaa kriittiset toiminnot ja järjestelmät, hahmotella selkeät menettelyt olennaisten toimintojen ylläpitämiseksi häiriötilanteissa ja määritellä hätätilanneryhmien roolit ja vastuut, mukaan lukien sidosryhmien viestintäprotokollat", hän kertoo ISMS.online-sivustolle.

”Myös toiminnan jatkuvuussuunnitelmien testaamiseksi ja heikkouksien tunnistamiseksi tulee tehdä usein harjoituksia ja simulaatioita. Tämä auttaa varmistamaan, että henkilökunta on valmis reagoimaan tehokkaasti todellisten tapahtumien aikana."

Yliopiston teknologia- ja turvallisuusjohtajien tulee myös ottaa huomioon käyttämänsä IT-infrastruktuuri. Mistry suosittelee pilvipohjaisia ​​ratkaisuja saavutettavuuden, kuormituksen tasapainotuksen ja vikasietoisuuden varmistamiseksi palvelun saatavuuden ylläpitämiseksi sekä hybridipilviarkkitehtuuria riskin hajauttamiseksi useisiin ympäristöihin.

"Vältä liiallista riippuvuutta yhteen toimittajaan tai järjestelmään. Redundanttien järjestelmien käyttöönotto ja kriittisten palvelujen monipuolistaminen voivat auttaa ylläpitämään toimintaa, jos jokin järjestelmä epäonnistuu, hän lisää. "Tämä sisältää useiden eri toimittajien kyberturvaratkaisujen käyttämisen, kriittisten tietojen ja järjestelmien offline-varmuuskopioiden ylläpitämisen sekä redundanttien verkkoyhteyksien ja virtalähteiden toteuttamisen."

Sekä Gilmour että Mistry kannattavat myös tapauksen jälkeisiä kuolemantapauksia varmistaakseen, että IT-tiimit oppivat vakavista tietoturvaloukkauksista ja -katkoksista. Nämä voivat auttaa tarjoamaan "perusteellisen analyysin tapauksista, paljastamaan perimmäisiä syitä ja tuomaan esiin prosessien parantamisen kohteita" ja edistämään "vastuullisuuden ja jatkuvan oppimisen kulttuuria koko organisaatiossa", Mistry sanoo.

ISO 27001 ja sen yli

Kysymys kuuluu: mistä aloittaa? ISO 27001 ja Cyber ​​Essentials ovat monien IT- ja tietoturvajohtajien tuntemia tapoja parantaa kyber- ja tietoturvaa. Mutta vaikka jälkimmäinen keskittyy Internetiin johtavien järjestelmien teknisiin ohjauksiin kyberriskin minimoimiseksi, ISO 27001 tarjoaa luultavasti enemmän, mitä voidaan myös liittää liiketoiminnan jatkuvuuden/katastrofipalautuksen suunnitteluun.

Tämä sisältää avainalueita, kuten:

• Myyjän riskienhallinta
• Tapahtumaan vastaaminen
• Viestintä sisäisten ja ulkoisten sidosryhmien/asiakkaiden kanssa
• Ohjelmistotestaus
• Työntekijän koulutus

Käyttämällä ISO 27001 -standardia lähtökohtana korkeakouluorganisaatiot voivat rakentaa kyberkestävyyttä ja luoda pohjan kattavammalle lähestymistavalle laajempaan IT-sietokykyyn.

”Näiden standardien avulla yliopistot voivat luoda systemaattisen lähestymistavan riskienhallintaan, vaaratilanteisiin reagoimiseen ja tietosuojaan. Nämä viitekehykset tarjoavat kattavan joukon parhaita käytäntöjä, jotka voivat auttaa organisaatioita tunnistamaan ja korjaamaan haavoittuvuuksia, parantamaan niiden kestävyyttä ja noudattamaan säännösten vaatimuksia", sanoo Axians UK:sta Gilmour.

"Näiden standardien prosessien ja käytäntöjen ottaminen käyttöön ja toteuttaminen tarkoittaa, että yliopistot voivat parantaa merkittävästi kyberturvallisuusasemaansa ja suojata arkaluonteisia tietojaan ja toimintaansa."

Trend Micron Mistry lisää, että monet organisaatiot aloittavat Cyber ​​Essentialsilla ja kehittävät sitten sitä "kattavammalla" ISO 27001 -standardilla parantaakseen turvallisuutta ja kestävyyttä entisestään.

"ISO 27001:n ja Cyber ​​Essentialsin kaltaiset puitteet ovat ratkaisevassa roolissa IT- ja kybersietokyvyn rakentamisessa ja tarjoavat organisaatioille jäsennellyn tien parantaa tietoturvakäytäntöjään", hän päättää. "Hyödyntämällä näitä kehyksiä organisaatiot voivat järjestelmällisesti parantaa kykyään ehkäistä, havaita, reagoida kyberonnettomuuksiin ja toipua niistä, mikä viime kädessä vahvistaa yleistä kyberresilienssiään."