A educação é um dos principais alvos de ciberataques, juntamente com setores como o financeiro e o da saúde. A nível global, o setor da educação continua a registar um aumento dos ciberataques. A Check Point Research (CPR) constatou um aumento de 75% nos ciberataques contra instituições de ensino em 2021, o que coloca este setor no primeiro lugar em termos de número de ciberataques, em comparação com outros setores da economia.
A educação é um alvo preferido dos cibercriminosos porque tem certos aspetos que a tornam vulnerável. Por exemplo, as instituições de ensino podem não ter o luxo de contar com uma equipa de segurança dedicada. Outros fatores incluem uma base de utilizadores dinâmica e políticas como a «Traga o Teu Próprio Dispositivo» (BYOD), em que alunos e funcionários usam dispositivos móveis para aceder à rede e às aplicações na nuvem.
À medida que os ciberataques continuam a causar estragos neste setor vulnerável, a formação em cibersegurança para o setor da educação torna-se uma arma essencial contra esses ataques.
Tipos de ameaças cibernéticas às instituições de ensino
O Ponemon Institute e a IBM analisaram o impacto das falhas de segurança no setor da educação num relatório recente. Os investigadores descobriram que 48% das falhas de segurança no setor resultaram de ataques maliciosos, que demoraram até 212 dias a serem identificados e contidos. Os ataques maliciosos centraram-se nos dados, incluindo resultados de exames, com 43% das instituições do setor a referirem que os dados dos alunos foram o alvo.
Uma investigação do Governo do Reino Unido revelou alguns números impressionantes . A seguinte percentagem de estabelecimentos de ensino foi vítima de um ciberataque em 2020-2021:
- 36% das escolas primárias
- 58% das escolas secundárias
- 75% das universidades
Tal como em muitos outros setores, o fator humano é fundamental para o sucesso de um ciberataque. Um estudo da Universidade de Stanford revelou que 88% das falhas de segurança têm origem num ser humano, como, por exemplo, um funcionário.
Os tipos de ameaças cibernéticas a seguir têm como alvo as instituições de ensino e, como todas elas têm o ser humano no centro do ataque, a formação em sensibilização para a segurança pode ajudar a preveni-las:
Phishing
Os e-mails de phishing, o phishing por voz (vishing) e o spear-phishing (ataques de phishing direcionados) são os favoritos dos cibercriminosos porque funcionam bem. Uma investigação da Symantec revelou que 96% das violações de dados começam com um e-mail de phishing. Escolas, institutos e universidades estão todos em risco de sofrer ataques de phishing. Um relatório de 2021 da Netwrix revelou que 60% das instituições de ensino já tinham sofrido um ataque de phishing.
Ransomware
O ransomware já não se resume apenas a encriptar dados e exigir um resgate para os desencriptar. Hoje em dia, os dados são normalmente roubados e usados como moeda de troca para pressionar a vítima a pagar o resgate e/ou vendidos a outros cibercriminosos.
O Centro Nacional de Cibersegurança (NCSC) emitiu vários alertas no último ano sobre o aumento dos ataques de ransomware contra o setor da educação. O phishing está entre os três métodos mais comuns usados para infetar as redes do setor da educação com ransomware. Outros métodos exploram falhas na autenticação e vulnerabilidades no software.
Violações de dados e exposição acidental
As violações de dados saem caras às escolas, institutos e universidades: um relatório da IBM e da Ponemon sobre o custo de uma violação de dados revelou que o custo médio do setor era de 141 dólares (107 libras) por registo afetado. No entanto, este valor subiu para 200 dólares (153 libras) no setor da educação.
As fugas acidentais de dados também acarretam custos e tempo de inatividade: o relatório da Netwrix revelou que quase todas as instituições de ensino demoram dias ou semanas a descobrir uma fuga acidental de dados. E cerca de um terço delas demorou semanas a recuperar de uma fuga acidental de dados.
Engenharia social
A engenharia social costuma reunir vários elementos de um esquema complexo. O phishing é um método típico usado para roubar credenciais de acesso, mas, cada vez mais, os fraudadores também estão a recorrer a outros métodos, incluindo as redes sociais e chamadas telefónicas, para descobrir informações sobre uma pessoa-alvo e/ou uma instituição de ensino.
Ambientes de aprendizagem em casa inseguros
A Covid-19 e o ensino à distância vieram realçar a necessidade de uma boa segurança no ambiente doméstico. Mas o teletrabalho muitas vezes faz com que a segurança seja deixada de lado, já que os membros da mesma família partilham dispositivos e ligações Wi-Fi.
Como é que a formação em cibersegurança pode ajudar a prevenir ataques cibernéticos a escolas, institutos superiores e universidades?
Como as pesquisas demonstraram, a exposição de dados é muitas vezes uma consequência de fatores humanos. Isto inclui tanto pessoas com falta de conhecimentos sobre segurança como cibercriminosos que manipulam o comportamento humano.
A formação em sensibilização para a segurança preenche a lacuna na compreensão do que é a segurança e dá às pessoas as ferramentas para evitar que os ciberataques aconteçam. A formação em sensibilização para a segurança no setor da educação é mais eficaz quando o programa é adaptado a este setor. A educação enfrenta alguns desafios específicos, e cada tipo de instituição de ensino, desde as escolas primárias até às universidades, tem o seu próprio ambiente e estrutura únicos.
A formação em sensibilização para a segurança empresarial tem de abranger vários tipos de funções dentro de uma empresa; funções como a contabilidade de fornecedores e os recursos humanos são alvo de tipos específicos de ciberataques, por exemplo, o Business Email Compromise (BEC).
As instituições de ensino também têm muitas das mesmas funções que uma empresa; no entanto, as universidades, por exemplo, têm de formar tanto os estudantes como o pessoal. É possível conceber um programa de formação que abranja todos estes diferentes tipos de pessoas e funções através de uma abordagem à formação em segurança baseada em funções. Mas tem de conseguir chegar também aos utilizadores remotos. Os programas de formação ministrados através de Software como Serviço (SaaS) são ideais para a natureza distribuída da educação moderna.
Cinco elementos-chave da formação em cibersegurança no setor da educação
Os cinco elementos principais a ter em conta na escolha de um programa que se adapte às necessidades específicas de uma instituição de ensino são os seguintes: o programa tem de ser:
- Concebido para ser utilizado por um vasto leque de pessoas, desde funcionários a alunos
- Pode ser adaptado para refletir os tipos de ciberataques que afetam o setor da educação
- Pode ser disponibilizado através do modelo SaaS para toda a gente, incluindo quem trabalha à distância e os estudantes
- Inclui módulos de formação divertidos e interativos que mantêm a atenção de todos os tipos de formandos
- Pode gerar relatórios e documentação que ajudam a garantir a conformidade regulamentar, incluindo o RGPD do Reino Unido.
Os cibercriminosos não têm moral e atacar o setor da educação mostra até onde são capazes de chegar. No entanto, o perfil único do setor da educação significa que a formação em sensibilização para a segurança tem de ser adaptada a essas necessidades. Ao escolheres um programa de formação em sensibilização para a segurança, certifica-te de que a solução cumpre os cinco elementos-chave acima referidos.