Waarom hoër onderwys IT sowel as kuberveerkragtigheid moet bou

As voogde van hoogs sensitiewe persoonlike inligting en navorsing van wêreldgehalte, is die VK se hoëronderwysinstellings (HO) gewilde teikens vir kubermisdadigers en nasiestate. Dit moet stel kuberveerkragtigheid reg aan die bokant van die prioriteitslys vir CISO's in die bedryf. Maar soos die onlangse CrowdStrike-onderbreking uitgelig het, moet die HO-sektor voorbereid wees op meer as net bedreigingsakteurs.

Kuberveerkragtigheid is 'n integrale deel van besigheidskontinuïteit, maar daar is ander risiko's vir die inligting wat HO-instellings bestuur en die dienste wat hulle lewer wat ook bestuur moet word. Gelukkig kan ISO 27001 ook help deur inligtingstelsels se beskikbaarheid, vertroulikheid en integriteit te beskerm in die geval van 'n onverwagte ontwrigting.

Wat het gebeur?

Beskryf as moontlik die wêreld se ergste IT-onderbreking, het die CrowdStrike-voorval gespruit uit 'n foutiewe opdatering van die firma se Falcon-eindpunt-sekuriteitsinstrument, wat wydverspreide probleme veroorsaak het met Microsoft Windows-rekenaars wat die sagteware gebruik. Alhoewel minder as 1% van wêreldwye Windows-eindpunte geraak is, was dit gelykstaande aan meer as agt miljoen masjiene – waarvan baie kritieke dienste in hospitale, lugdienste en HO-instellings bedryf het.

Volgens verslae, Dienste by UK HO-instellings, insluitend Manchester, East Anglia, Oxford Brookes, Lancaster en Aston universiteite, is deur die onderbreking geraak. Baie ander oorkant die Atlantiese Oseaan is ook geraak, met studenteportale wat afgeneem is en sommige gedwing is om somerklasse te sluit. As 'n soortgelyke voorval gedurende die termyn plaasgevind het, kon die ontwrigting baie erger gewees het.

Bou veerkragtigheid

Britse universiteite is al 'n geruime tyd op die agtervoet teen bedreigingsakteurs. Volgens die regering, 97% van HO-instellings het die afgelope jaar 'n oortreding of kuberaanval geïdentifiseer, met ses uit 10 wat beweer dat hulle negatief daardeur geraak is. ’n Kombinasie van komplekse verspreide netwerke en groot getalle personeel en studente wat oop internettoegang benodig, sorg vir ’n uitgestrekte aanvalsoppervlak om te verdedig. Ransomware, uitvissing, staatsgesteunde datadiefstal en swendelary wat inligting steel, is algemeen. En aanhoudende finansiële druk maak dit moeilik vir CISO's om te prioritiseer waar besteding gefokus moet word.

Tog glo kenners dat die CrowdStrike-voorval 'n katalisator moet wees vir 'n breër bespreking van IT-veerkragtigheid wat verder gaan as die voorkoming, opsporing en reaksie op kwaadwillige kubervoorvalle. Volgens Chris Gilmour, uitvoerende hoof van die IT-bestuurde dienstefirma Axians UK, moet beplanning vir sulke geleenthede saam met die gewone kuberhigiëne-stapels van pleistering, multi-faktor-verifikasie (MFA) en beperking van netwerktoegang kom.

"Gereelde toetsing van rampherstelplanne en gebeurlikheidsbeplanning vir 'linkerveld'-uitdagings is noodsaaklik om te verseker dat dit doeltreffend is in die geval van 'n krisis," sê hy aan ISMS.online. "Dit is ook ongelooflik belangrik om 'n kultuur van sekuriteitsbewustheid onder personeel en studente te bevorder wat kan help om oortredings te voorkom en die impak daarvan te versag."

Bharat Mistry, tegniese direkteur van Trend Micro UK & I, voeg by dat HO se sakekontinuïteitsplanne IT, kommunikasie, datatoegang en onderrig moet dek.

"Hierdie planne moet kritieke funksies en stelsels identifiseer, duidelike prosedures uiteensit vir die handhawing van noodsaaklike bedrywighede tydens ontwrigtings, en rolle en verantwoordelikhede vir noodreaksiespanne definieer, insluitend kommunikasieprotokolle vir belanghebbendes," sê hy aan ISMS.online.

“Gereelde oefeninge en simulasies moet ook uitgevoer word om sakekontinuïteitsplanne te toets en swakhede te identifiseer. Dit help verseker dat personeel bereid is om effektief te reageer tydens werklike voorvalle.”

Tegnologie- en sekuriteitsleiers in HO moet ook die IT-infrastruktuur wat hulle gebruik, oorweeg. Mistry beveel wolkgebaseerde oplossings aan om toeganklikheid, lasbalansering en failover te verseker om diensbeskikbaarheid te handhaaf, sowel as hibriede wolkargitekture om die risiko oor verskeie omgewings te versprei.

“Vermy oormatige afhanklikheid van 'n enkele verskaffer of stelsel. Die implementering van oortollige stelsels en die diversifisering van kritieke dienste kan help om bedrywighede in stand te hou as een stelsel misluk,” voeg hy by. "Dit sluit die gebruik van veelvuldige kuberveiligheidsoplossings van verskillende verskaffers in, die instandhouding van vanlyn rugsteun van kritieke data en stelsels, en die implementering van oortollige netwerkverbindings en kragtoevoer."

Beide Gilmour en Mistry bepleit ook nadoodse ondersoeke na die voorval om te verseker dat IT-spanne die lesse van ernstige sekuriteitsoortredings en -onderbrekings leer. Dit kan help om "'n deeglike ontleding van insidente te verskaf, die grondoorsake te ontbloot en areas vir prosesverbetering uit te lig" en "'n kultuur van aanspreeklikheid en deurlopende leer regoor die organisasie te bevorder," sê Mistry.

ISO 27001 en verder

Die vraag is: waar om te begin? ISO 27001 en Cyber ​​Essentials is welbekend aan baie IT- en sekuriteitsleiers as maniere om basislyn kuber- en inligtingsekuriteit te verbeter. Maar terwyl laasgenoemde fokus op tegniese kontroles vir stelsels wat aan die internet gerig is om kuberrisiko te verminder, bied ISO 27001 waarskynlik meer wat ook gekoppel kan word aan besigheidskontinuïteit/rampherstelbeplanning.

Dit sluit sleutelareas in soos:

• Verkoper risikobestuur
• Insident reaksie
• Kommunikasie met interne en eksterne belanghebbendes/kliënte
• Sagteware toetsing
• Opleiding van werknemers

Deur ISO 27001 as 'n beginpunt te gebruik, kan HO-organisasies kuberveerkragtigheid bou terwyl hulle die grondslag lê vir 'n meer omvattende benadering tot breër IT-veerkragtigheid.

“Deur hierdie standaarde aan te neem, kan universiteite 'n sistematiese benadering tot risikobestuur, insidentreaksie en databeskerming daarstel. Hierdie raamwerke bied 'n omvattende stel beste praktyke wat organisasies kan help om kwesbaarhede te identifiseer en aan te spreek, hul veerkragtigheid te verbeter en aan regulatoriese vereistes te voldoen,” sê Gilmour van Axians UK.

"Die aanvaarding en implementering van die prosesse en beleide van hierdie standaarde beteken dat universiteite hul kuberveiligheidsposisie aansienlik kan verbeter en hul sensitiewe data en bedrywighede kan beskerm."

Trend Micro se Mistry voeg by dat baie organisasies met Cyber ​​Essentials begin en dan daarop voortbou met die “meer omvattende” ISO 27001-standaard om sekuriteit en veerkragtigheid verder te verbeter.

"Raamwerke soos ISO 27001 en Cyber ​​Essentials speel 'n deurslaggewende rol in die bou van IT en kuberveerkragtigheid, wat organisasies 'n gestruktureerde pad bied om hul sekuriteitspraktyke te verbeter," sluit hy af. "Deur hierdie raamwerke te gebruik, kan organisasies stelselmatig hul vermoë verbeter om te voorkom, op te spoor, daarop te reageer en te herstel van kubervoorvalle, wat uiteindelik hul algehele kuberveerkragtigheidsposisie versterk."