Le secteur de l’éducation est une cible privilégiée des cyberattaques, au même titre que des secteurs tels que la finance et la santé. À l’échelle mondiale, le secteur de l’éducation continue d’enregistrer une hausse des cyberattaques. Check Point Research (CPR) a constaté une augmentation de 75 % des cyberattaques visant les établissements d’enseignement en 2021, ce qui place ce secteur en tête en termes de nombre de cyberattaques par rapport aux autres secteurs d’activité.
Le secteur de l’éducation est une cible privilégiée des cybercriminels, car il présente certaines caractéristiques qui le rendent vulnérable. Par exemple, les établissements d’enseignement ne disposent pas toujours d’une équipe de sécurité dédiée. D’autres facteurs entrent également en ligne de compte, notamment une base d’utilisateurs dynamique et des politiques telles que le « Bring Your Own Device » (BYOD), dans le cadre desquelles les étudiants et le personnel utilisent des appareils mobiles pour se connecter au réseau et aux applications cloud.
Alors que les cyberattaques continuent de faire des ravages dans ce secteur vulnérable, la formation à la cybersécurité destinée au secteur de l’éducation devient un outil essentiel pour lutter contre ces attaques.
Types de cybermenaces pesant sur les établissements d’enseignement
Dans un rapport récent, le Ponemon Institute et IBM ont analysé l’impact des failles de sécurité au sein du secteur de l’éducation. Les chercheurs ont constaté que 48 % des failles dans ce secteur résultaient d’attaques malveillantes, dont l’identification et la maîtrise ont pris jusqu’à 212 jours. Ces attaques malveillantes visaient principalement les données, notamment les résultats d’examens, 43 % des acteurs du secteur ayant indiqué que les données des élèves en étaient la cible.
Une étude menée par le gouvernement britannique a révélé des chiffres stupéfiants . Voici le pourcentage d’établissements scolaires ayant été victimes d’une cyberattaque au cours de l’année scolaire 2020-2021 :
- 36 % des écoles primaires
- 58 % des établissements d’enseignement secondaire
- 75 % des universités
Comme dans de nombreux autres secteurs, le facteur humain joue un rôle central dans la réussite d’une cyberattaque. Une étude menée par l’université de Stanford a révélé que 88 % des failles de sécurité trouvent leur origine chez un être humain, par exemple un employé.
Les types de cybermenaces suivants visent les établissements d’enseignement, et comme elles ont toutes pour cible principale l’être humain, une formation à la sensibilisation à la sécurité peut contribuer à les prévenir :
Hameçonnage
Les e-mails de hameçonnage, le hameçonnage vocal (vishing) et le spear-phishing (attaques de hameçonnage ciblées) font partie des techniques préférées des cybercriminels, car elles s’avèrent très efficaces. Une étude de Symantec a révélé que 96 % des fuites de données trouvent leur origine dans un e-mail de hameçonnage. Les écoles, les établissements d’enseignement supérieur et les universités sont tous exposés au risque de hameçonnage. Un rapport de Netwrix publié en 2021 a montré que 60 % des établissements d’enseignement avaient été victimes d’une attaque de hameçonnage.
Ransomware
Les ransomwares ne se contentent plus de chiffrer des données et d’exiger une rançon pour les déchiffrer. Désormais, les données sont généralement volées et utilisées comme moyen de pression pour vous contraindre à payer la rançon et/ou revendues à d’autres cybercriminels.
Le Centre national de cybersécurité (NCSC) a publié plusieurs alertes au cours de l’année écoulée concernant la recrudescence des attaques par ransomware visant le secteur de l’éducation. Le phishing figure parmi les trois méthodes les plus couramment utilisées pour infecter les réseaux éducatifs avec des ransomwares. D’autres méthodes exploitent des failles d’authentification et des vulnérabilités logicielles.
Fuites de données et divulgation accidentelle
Les fuites de données coûtent cher aux écoles, aux établissements d’enseignement supérieur et aux universités : un rapport d’IBM et de Ponemon sur le coût d’une fuite de données a révélé que le coût moyen dans ce secteur s’élevait à 141 dollars (107 livres sterling) par dossier concerné. Toutefois, ce chiffre s’élevait à 200 dollars (153 livres sterling) dans le secteur de l’éducation.
Les fuites accidentelles de données entraînent également des coûts et des temps d’arrêt : le rapport Netwrix a révélé que la quasi-totalité des établissements d’enseignement mettent plusieurs jours, voire plusieurs semaines, à détecter une fuite accidentelle de données. Par ailleurs, environ un tiers d’entre eux ont mis plusieurs semaines à se remettre d’une telle fuite.
Ingénierie sociale
L’ingénierie sociale combine souvent de nombreux éléments d’une arnaque complexe. Le phishing est une méthode couramment utilisée pour dérober des identifiants de connexion, mais les fraudeurs ont de plus en plus souvent recours à d’autres moyens, notamment les réseaux sociaux et les appels téléphoniques, pour obtenir des informations sur une personne ciblée et/ou un établissement d’enseignement.
Environnements d’apprentissage à domicile précaires
La pandémie de Covid-19 et l’enseignement à distance ont mis en évidence la nécessité d’assurer une bonne sécurité dans un environnement domestique. Or, le télétravail implique souvent que la sécurité passe au second plan, car les membres d’un même foyer partagent leurs appareils et leurs connexions Wi-Fi.
En quoi la formation à la cybersécurité peut-elle contribuer à prévenir les cyberattaques contre les écoles, les établissements d’enseignement supérieur et les universités ?
Comme l’ont montré des études, l’exposition des données est souvent due à des facteurs humains. Cela inclut à la fois le manque de connaissances des individus en matière de sécurité et la manipulation du comportement humain par les cybercriminels.
La formation à la sensibilisation à la sécurité comble les lacunes dans la compréhension des enjeux liés à la sécurité et donne aux participants les outils nécessaires pour prévenir les cyberattaques. Dans le secteur de l’éducation, la formation à la sensibilisation à la sécurité est particulièrement efficace lorsqu’elle est adaptée aux spécificités de ce secteur. Le secteur de l’éducation présente en effet des défis particuliers, et chaque type d’établissement, de l’école primaire à l’université, possède un environnement et une structure qui lui sont propres.
La formation à la sensibilisation à la sécurité d’entreprise doit s’adresser à de nombreux types de postes au sein d’une entreprise ; certains postes, tels que ceux des services comptabilité fournisseurs et des ressources humaines, sont en effet particulièrement exposés à certains types de cyberattaques, comme par exemple les attaques de type « Business Email Compromise » (BEC).
Les établissements d’enseignement assument également bon nombre des mêmes rôles qu’une entreprise ; toutefois, les universités, par exemple, doivent former aussi bien les étudiants que le personnel. La conception d’un programme de formation couvrant tous ces différents types de personnes et de rôles est réalisable grâce à une approche de la formation à la sécurité fondée sur les rôles. Mais ce programme doit également pouvoir atteindre les utilisateurs à distance. Les programmes de formation dispensés via le modèle SaaS (Software as a Service) sont parfaitement adaptés à la nature décentralisée de l’enseignement moderne.
Les cinq éléments clés de la formation à la cybersécurité dans le secteur de l’éducation
Les cinq éléments principaux à prendre en compte lors du choix d’un programme adapté aux besoins spécifiques d’un établissement d’enseignement sont les suivants : le programme doit :
- Conçu pour s’adapter à un large éventail de personnes, du personnel aux étudiants
- Peut être adapté pour tenir compte des différents types de cyberattaques qui touchent le secteur de l’éducation
- Peut être mis à disposition via un modèle SaaS pour tous, y compris les télétravailleurs et les étudiants
- Intègre des modules de formation ludiques et interactifs qui captivent l’attention de tous les types d’apprenants
- Permet de générer des rapports et des justificatifs facilitant la mise en conformité réglementaire, notamment avec le RGPD britannique.
Les cybercriminels n’ont aucune morale, et le fait qu’ils s’en prennent au secteur de l’éducation montre jusqu’où ils sont prêts à s’abaisser. Cependant, les spécificités du secteur de l’éducation impliquent que la sensibilisation à la sécurité doit être adaptée à ses besoins. Lorsque vous choisissez un programme de formation à la sensibilisation à la sécurité, assurez-vous que la solution répond aux cinq éléments clés mentionnés ci-dessus.