W ostatnich latach dyrektorzy szkół, przedszkoli oraz innych placówek oświatowych coraz częściej spotykają się z ofertami dotyczącymi cyberbezpieczeństwa.Firmy proponują testy penetracyjne, audyty cyberbezpieczeństwa, audyty informatyczne, skanowanie podatności czy rozbudowane usługi monitorowania bezpieczeństwa.
Wiele z tych ofert zawiera podobny przekaz: „szkoła musi to zrobić” albo „jest to wymagane przez przepisy”.
Czy rzeczywiście tak jest?
Odpowiedź nie jest tak jednoznaczna, jak często przedstawiają to materiały marketingowe. W praktyce wiele szkół ponosi niepotrzebne koszty, ponieważ podejmuje decyzje na podstawie niepełnych informacji.
Zacznijmy od najważniejszego pytania
Czy istnieje przepis, który nakazuje każdej szkole wykonywanie regularnych testów penetracyjnych?
Nie.
Nie istnieje obecnie ogólny obowiązek, który nakazywałby wszystkim szkołom podstawowym, liceom, technikom czy przedszkolom wykonywanie cyklicznych pentestów wyłącznie z faktu prowadzenia działalności oświatowej.
Podobnie wygląda sytuacja z dodatkowymi audytami informatycznymi. Sam fakt funkcjonowania szkoły nie oznacza automatycznego obowiązku zlecania kosztownego audytu cyberbezpieczeństwa.
Nie oznacza to oczywiście, że takie działania są zawsze zbędne. Oznacza jedynie, że powinny wynikać z rzeczywistych potrzeb organizacji, a nie z błędnego przekonania o istnieniu obowiązku prawnego.
Czym właściwie jest pentest?
Test penetracyjny, nazywany również pentestem, polega na kontrolowanej próbie sprawdzenia zabezpieczeń systemów informatycznych. Specjalista działa podobnie do potencjalnego atakującego i próbuje znaleźć słabe punkty w infrastrukturze.
Jest to bardzo wartościowe narzędzie, szczególnie w organizacjach posiadających rozbudowane systemy dostępne z Internetu, własne aplikacje lub usługi świadczone elektronicznie.
Problem polega na tym, że nie każda organizacja posiada takie środowisko.
W wielu szkołach infrastruktura informatyczna ogranicza się do standardowych komputerów, sieci lokalnej, dziennika elektronicznego, poczty elektronicznej oraz systemów administracyjnych dostarczanych przez zewnętrznych producentów.
W takich przypadkach kosztowny test penetracyjny nie zawsze będzie działaniem przynoszącym największe korzyści.
Co jest ważniejsze od pentestu?
Z perspektywy audytora bezpieczeństwa informacji odpowiedź jest prosta: najpierw należy uporządkować podstawy.
Bardzo często okazuje się, że największym zagrożeniem nie jest skomplikowany atak hakerski, ale brak aktualizacji systemów, słabe hasła, niewłaściwie nadane uprawnienia czy brak świadomości pracowników.
W praktyce znacznie częściej spotyka się incydenty wynikające z błędów organizacyjnych niż z zaawansowanych technik stosowanych przez cyberprzestępców.
Dlatego przed rozważeniem testów penetracyjnych warto upewnić się, że szkoła posiada aktualną dokumentację bezpieczeństwa, przeprowadziła analizę ryzyka, określiła zasady korzystania z systemów informatycznych i przeszkoliła pracowników.
Dopiero po uporządkowaniu tych obszarów można ocenić, czy dodatkowe badania techniczne są rzeczywiście potrzebne.
A co z audytem informatycznym? Wyjaśniamy.
Pojęcie audytu informatycznego jest bardzo szerokie.
Pod tą nazwą mogą kryć się zarówno proste przeglądy infrastruktury, jak i rozbudowane analizy bezpieczeństwa obejmujące wiele obszarów działalności organizacji.
Problem polega na tym, że część ofert wykorzystuje ogólne określenia bez wskazania konkretnego celu audytu.
Szkoła powinna zawsze wiedzieć, po co zleca dane badanie i jakie korzyści ma ono przynieść.
Dobrze przeprowadzony audyt może pomóc w identyfikacji zagrożeń, uporządkowaniu procesów oraz przygotowaniu organizacji do nowych wymagań prawnych. Nie powinien jednak być wykonywany wyłącznie dlatego, że ktoś sugeruje jego obowiązkowy charakter.
Czy program Cyberbezpieczny Samorząd wymaga pentestów?
To jedno z najczęściej pojawiających się pytań.
Program Cyberbezpieczny Samorząd koncentruje się na podniesieniu poziomu cyberbezpieczeństwa jednostek samorządu terytorialnego oraz ich jednostek organizacyjnych.
Nie oznacza to jednak automatycznego obowiązku wykonywania testów penetracyjnych przez każdą szkołę uczestniczącą w projekcie.
Zakres działań powinien być dostosowany do poziomu ryzyka, charakteru wykorzystywanych systemów oraz rzeczywistych potrzeb organizacji.
W wielu przypadkach większe znaczenie dla bezpieczeństwa szkoły będzie miało wdrożenie odpowiednich procedur, aktualizacja dokumentacji, analiza ryzyka czy przeprowadzenie szkoleń dla pracowników.
Kiedy pentest może mieć sens?
Istnieją sytuacje, w których wykonanie testu penetracyjnego jest uzasadnione.
Dotyczy to przede wszystkim organizacji posiadających własne systemy dostępne z Internetu, rozbudowane środowiska informatyczne, publiczne aplikacje internetowe lub usługi świadczone elektronicznie.
Pentest może być również dobrym rozwiązaniem po wdrożeniu nowych systemów albo po wykryciu istotnych problemów bezpieczeństwa.
Kluczowe jest jednak to, aby decyzja była poprzedzona analizą ryzyka, a nie wynikała wyłącznie z oferty handlowej.
Jak rozsądnie podejść do tematu?
Szkoła powinna przede wszystkim wiedzieć, jakie posiada zasoby informacyjne, jakie zagrożenia mogą wystąpić oraz jakie środki bezpieczeństwa są już stosowane.
Dopiero na tej podstawie można określić, czy potrzebne są dodatkowe działania techniczne, takie jak testy penetracyjne lub specjalistyczne audyty.
Nie każda placówka potrzebuje tych samych rozwiązań. To, co jest uzasadnione dla dużej organizacji posiadającej rozbudowaną infrastrukturę IT, nie zawsze będzie konieczne w niewielkiej szkole podstawowej.
Podsumowanie
Jeżeli ktoś twierdzi, że każda szkoła ma obowiązek wykonywania regularnych pentestów albo dodatkowych audytów informatycznych, warto poprosić o wskazanie konkretnej podstawy prawnej oraz uzasadnienie takiej konieczności. W większości przypadków znacznie większą wartość dla bezpieczeństwa placówki przynosi uporządkowanie dokumentacji, analiza ryzyka, właściwe zarządzanie dostępami, szkolenia pracowników oraz regularny przegląd stosowanych zabezpieczeń.
Cyberbezpieczeństwo nie polega na kupowaniu kolejnych usług. Polega na świadomym zarządzaniu ryzykiem i wdrażaniu rozwiązań, które rzeczywiście odpowiadają potrzebom organizacji.