Il settore dell’istruzione è uno dei principali bersagli degli attacchi informatici, insieme a settori come quello finanziario e sanitario. A livello globale, il settore dell’istruzione continua a registrare un aumento degli attacchi informatici. Check Point Research (CPR) ha rilevato un aumento del 75% degli attacchi informatici contro gli istituti scolastici nel 2021, collocando questo settore al primo posto in termini di numero di attacchi informatici rispetto ad altri settori industriali.
Il settore dell’istruzione è uno dei bersagli preferiti dai criminali informatici perché presenta alcuni aspetti che lo rendono vulnerabile. Ad esempio, gli istituti scolastici potrebbero non potersi permettere il lusso di un team di sicurezza dedicato. Altri fattori includono una base di utenti in continua evoluzione e politiche come il “Bring Your Own Device” (BYOD), in cui studenti e personale usano dispositivi mobili per accedere alla rete e alle app cloud.
Mentre gli attacchi informatici continuano a seminare il caos in questo settore così vulnerabile, la formazione sulla sicurezza informatica nel settore dell’istruzione diventa un’arma fondamentale per contrastarli.
Tipi di minacce informatiche rivolte alle istituzioni scolastiche
Il Ponemon Institute e IBM hanno analizzato l’impatto delle violazioni della sicurezza nel settore dell’istruzione in un recente rapporto. I ricercatori hanno scoperto che il 48% delle violazioni nel settore era dovuto ad attacchi dolosi, per i quali ci sono voluti fino a 212 giorni prima che la violazione venisse individuata e contenuta. Gli attacchi dolosi erano mirati ai dati, compresi i risultati degli esami, e il 43% delle realtà del settore ha segnalato che l’obiettivo erano proprio i dati degli studenti.
Da una ricerca del governo britannico sono emersi dei dati davvero sbalorditivi . Nel periodo 2020-2021, la seguente percentuale di istituti scolastici è stata vittima di un attacco informatico:
- Il 36% delle scuole elementari
- Il 58% delle scuole secondarie
- Il 75% delle università
Come in tanti altri settori, il fattore umano è fondamentale per il successo di un attacco informatico. Una ricerca dell’Università di Stanford ha scoperto che l’88% delle violazioni della sicurezza ha origine da una persona, ad esempio un dipendente.
I seguenti tipi di minacce informatiche prendono di mira gli istituti scolastici e, dato che in tutti questi casi sono le persone a trovarsi al centro dell’attacco, la formazione sulla consapevolezza della sicurezza può aiutare a prevenirle:
Phishing
Le email di phishing, il voice phishing (vishing) e lo spear-phishing (attacchi mirati) sono tra le tecniche preferite dai cybercriminali perché funzionano davvero bene. Una ricerca di Symantec ha rilevato che il 96% delle violazioni dei dati ha origine da un’e-mail di phishing. Scuole, college e università sono tutti a rischio di phishing. Un rapporto del 2021 di Netwrix ha rilevato che il 60% degli istituti scolastici ha subito un attacco di phishing.
Ransomware
Il ransomware non si limita più a crittografare i dati e a chiedere un riscatto per decrittografarli. Oggi, in genere, i dati vengono rubati e usati come leva per costringerti a pagare il riscatto e/o venduti ad altri criminali informatici.
L’Anno scorso, il Centro Nazionale per la Sicurezza Informatica (NCSC) ha diffuso una serie di avvisi sull’aumento degli attacchi ransomware contro il settore dell’istruzione. Il phishing è uno dei tre metodi più comuni usati per infettare le reti scolastiche con il ransomware. Altri metodi sfruttano sistemi di autenticazione poco sicuri e le vulnerabilità del software.
Violazioni dei dati e divulgazione accidentale
Le violazioni dei dati costano care a scuole, college e università: un rapporto di IBM e Ponemon sul costo di una violazione dei dati ha rilevato che il costo medio del settore era di 141 dollari (107 sterline) per ogni record compromesso. Tuttavia, questa cifra è salita a 200 dollari (153 sterline) nel settore dell’istruzione.
Anche le fughe accidentali di dati comportano costi e tempi di inattività: il rapporto di Netwrix ha rilevato che quasi tutti gli istituti scolastici impiegano giorni o settimane per scoprire una fuga accidentale di dati. Inoltre, circa un terzo di questi ha impiegato settimane per riprendersi da una fuga accidentale di dati.
Ingegneria sociale
L’ingegneria sociale spesso riunisce tanti elementi di una truffa complessa. Il phishing è un metodo tipico usato per rubare le credenziali di accesso, ma sempre più spesso i truffatori usano anche altri metodi, come i social media e le telefonate, per scoprire informazioni su una persona presa di mira e/o su un istituto scolastico.
Ambienti di apprendimento a casa non sicuri
Il Covid-19 e la didattica a distanza hanno messo in evidenza quanto sia importante garantire una buona sicurezza in casa. Ma il lavoro da casa spesso fa sì che la sicurezza venga trascurata, dato che i membri della stessa famiglia condividono dispositivi e connessioni Wi-Fi.
In che modo la formazione sulla sicurezza informatica può aiutare a prevenire gli attacchi informatici a scuole, istituti superiori e università?
Come hanno dimostrato le ricerche, la fuga di dati è spesso una conseguenza di fattori umani. Tra questi ci sono sia le persone che non ne sanno abbastanza sulla sicurezza, sia i criminali informatici che manipolano il comportamento umano.
La formazione sulla consapevolezza della sicurezza colma le lacune nella comprensione di cosa sia la sicurezza e fornisce alle persone gli strumenti per prevenire gli attacchi informatici. La formazione sulla consapevolezza della sicurezza per il settore dell’istruzione ha più successo quando il programma è personalizzato in base alle esigenze del settore. Il mondo dell’istruzione presenta alcune sfide specifiche e ogni tipo di istituto scolastico, dalle scuole elementari alle università, ha un ambiente e una struttura unici.
La formazione sulla sicurezza aziendale deve coprire diversi tipi di ruoli all’interno di un’azienda; ruoli come la contabilità fornitori e le risorse umane sono infatti bersaglio di specifici tipi di attacchi informatici, come ad esempio il Business Email Compromise (BEC).
Anche gli istituti di istruzione hanno molti dei ruoli tipici di un’azienda; tuttavia, le università, ad esempio, devono formare sia gli studenti che il personale. Progettare un programma di formazione che copra tutte queste diverse tipologie di persone e ruoli è fattibile con un approccio alla formazione sulla sicurezza basato sui ruoli. Ma deve essere in grado di raggiungere anche gli utenti remoti. I programmi di formazione erogati tramite Software as a Service (SaaS) sono l’ideale per la natura distribuita dell’istruzione moderna.
I cinque elementi chiave della formazione sulla sicurezza informatica nel settore dell’istruzione
I cinque elementi principali da considerare quando si sceglie un programma che si adatti alle esigenze specifiche di un istituto scolastico sono i seguenti: il programma deve essere:
- Pensato per adattarsi a un’ampia gamma di persone, dal personale agli studenti
- Può essere personalizzato per tenere conto dei diversi tipi di attacchi informatici che colpiscono il settore dell’istruzione
- Può essere fornito tramite SaaS a tutti, compresi i lavoratori da remoto e gli studenti
- Include moduli di formazione divertenti e interattivi che catturano l’attenzione di ogni tipo di studente
- Può generare report e documentazione a supporto della conformità normativa, compreso il GDPR del Regno Unito.
I criminali informatici non hanno scrupoli e gli attacchi al settore dell’istruzione dimostrano fino a che punto siano disposti a spingersi. Tuttavia, le caratteristiche specifiche del settore dell’istruzione richiedono che la formazione sulla sicurezza informatica sia adattata alle sue esigenze. Quando scegli un programma di formazione sulla sicurezza informatica, assicurati che la soluzione soddisfi i cinque elementi chiave sopra indicati.