Her aile çocukları için mümkün olan en düzgün eğitimi ister lakin en güzel hazırlanmış planlar bile çevik, ısrarcı ve sinsi bir düşmanla karşılaştığında bozulabilir. Siber hatalılar günümüzde okullar, kolejler ve üniversiteler için en büyük tehditlerden birini oluşturuyor. Siber güvenlik şirketi ESET bilgisayar tehdit aktörlerinin neden eğitim kurumlarının peşine düştüğünü araştırdı ve buralardaki riskin nasıl azaltılabileceğine yönelik tekliflerini paylaştı.
Microsoft’a nazaran, eğitim bölümü 2024 yılının 2. çeyreğinde en çok gaye alınan üçüncü dal oldu. ESET tehdit araştırmacıları, dünyanın dört bir yanındaki kurumları maksat alan sofistike APT kümelerini gözlemledi. Nisan-Eylül 2024 devrinde eğitim dalı, Çin’e bağlı APT kümeleri tarafından en çok hücuma uğrayan kesimler ortasında birinci üçte yer alırken Kuzey Kore birinci ikide, İran ve Rusya’ya bağlı aktörler tarafından ise birinci altıda yer aldı. Resmi sayılara nazaran, Birleşik Krallık’ta ortaöğretim (lise) okullarının yüzde 71’i ve üniversitelerin neredeyse tamamı (%97) geçtiğimiz yıl önemli bir güvenlik ihlali yahut saldırısı tespit ederken bu oran işletmelerin yalnızca yarısında (%50) görülmektedir. ABD’de, K12 Güvenlik Bilgi Değişimi’nden (SIX) elde edilen en son sayılar, 2016 ve 2022 yılları ortasında ülkenin her okul gününde birden fazla siber olay yaşadığını ortaya koyuyor.
Eğitim kurumları neden bu kadar tanınan bir gaye?
Sınırlı bütçe ve bilgi birikimi: Eğitim dalı, hudutlu siber güvenlik yetenekleri kelam konusu olduğunda güvenlik bütçeleri daha fazla olan özel işletmelerle rekabet edemez. Birebir bütçe baskısı, kurumların çoklukla güvenlik araçlarına harcayacak fazla parası olmadığı manasına gelir. Bu da kapsam ve kabiliyet açısından tehlikeli boşluklar yaratabilir.
Kişisel aygıtlar: Microsoft’a nazaran BYOD ABD’deki okullarda yaygın, üniversitede ise her yerde öğrencilerden kendi dizüstü bilgisayarlarını ve taşınabilir aygıtlarını kullanmaları bekleniyor. Kâfi güvenlik denetimleri yapılmadan okul ağlarında oturum açmalarına müsaade verilirse bu aygıtlar farkında olmadan tehdit aktörlerine hassas bilgilere ve sistemlere giden bir yol sağlayabilir.
Hatalı kullanıcılar: İnsanlar güvenlik işçisi için en büyük zorluklardan biri olmaya devam ediyor. Eğitim ortamlarındaki çok sayıdaki işçi ve öğrenci, onları kimlik avı için tanınan bir maksat hâline getiriyor.
Açıklık kültürü: Okullar, kolejler ve üniversiteler tipik işletmeler üzere değildir. Bilgi paylaşımı kültürü ve dış iş birliğine açıklık, riske davetiye çıkarabilir ve tehdit aktörlerinin yararlanabileceği fırsatlar sağlayabilir. Bilhassa e-posta irtibatı üzerinde daha sıkı denetimler tercih edilir. Lakin mezunlar ve bağışçılardan hayır kurumlarına ve tedarikçilere kadar çok sayıda kontaklı üçüncü taraf varken bu zordur.
Geniş bir taarruz yüzeyi: Eğitim tedarik zinciri, son yıllarda sanal öğrenme ve uzaktan çalışmanın ortaya çıkmasıyla genişleyen siber akın yüzeyinin yalnızca bir tarafıdır. Bulut sunucularından ferdî taşınabilir aygıtlara, mesken ağlarına ve çok sayıdaki değişken işçi ve öğrenciye kadar, tehdit aktörlerinin maksat alabileceği birçok amaç vardır. Pek çok eğitim kurumunun yamalanmamış ve desteklenmeyen eski yazılım ve donanımları kullanıyor olması da bu durumu daha da berbatlaştırıyor.
PII ve IP: Okullar ve üniversiteler, sıhhat ve finansal datalar de dahil olmak üzere işçi ve öğrenciler hakkında büyük hacimlerde şahsî olarak tanımlanabilir bilgi (PII) depolar, yönetir ve işler. Bu da onları finansal motivasyonlu fidye yazılımı aktörleri ve dolandırıcılar için cazip bir maksat hâline getiriyor. Pek çok üniversitenin yürüttüğü hassas araştırmalar da onları ulus devletlerin dikkatine sunuyor.
Eğitim kurumları siber riski nasıl azaltabilir?
Tehdit aktörlerinin okulları, kolejleri ve üniversiteleri amaç almasının kendine has bir dizi nedeni olabilir. Fakat genel olarak konuşmak gerekirse bunu yapmak için kullandıkları teknikler denenmiş ve test edilmiştir. Bu da olağan güvenlik kurallarının geçerli olduğu manasına gelir.
· Hesapları korumak için güçlü, eşsiz parolalar ve çok faktörlü kimlik doğrulama (MFA) kullanın
- Hızlı yama, sık yedekleme ve data şifreleme ile düzgün bir siber hijyen uygulayın
- Bir ihlalin tesirini en aza indirmek için sağlam bir olay müdahale planı geliştirin ve test edin
- Kimlik avı e-postalarının nasıl tespit edileceği de dahil olmak üzere en düzgün güvenlik uygulamaları konusunda işçisi, öğrencileri ve yöneticileri eğitin
- Öğrencilerle aygıtlarına evvelce yüklemelerini beklediğiniz güvenlik tedbirleri de dahil olmak üzere detaylı bir kabul edilebilir kullanım ve BYOD siyasetini paylaşın
- Kuruluşunuzun uç noktalarını, datalarını ve fikri mülkiyetlerini koruyan saygın siber güvenlik tedarikçisiyle bir iş iştiraki yapın
- Şüpheli faaliyetleri 7/24 izlemek ve tehditleri kurumu etkilemeden evvel yakalayıp denetim altına almaya yardımcı olmak için yönetilen algılama ve karşılık (MDR) kullanmayı düşünün.
Kaynak: (BYZHA) Beyaz Haber Ajansı
