Perché HECVAT è importante? Rischi per la sicurezza informatica nell'istruzione

HECVAT (Higher Education Community Vendor Assessment Tool o Higher Education Community Vendor Assessment Toolkit) è un framework e un modello di sicurezza che gli istituti di istruzione superiore possono utilizzare per misurare i rischi per la sicurezza associati a fornitori potenziali o esistenti.

HECVAT è eccellente per gli istituti di istruzione superiore perché molte organizzazioni di terze parti tendono ad avere strutture e seguire pratiche che si prestano a un aumento del rischio di sicurezza informatica. Inoltre, i college e le università possono utilizzarlo anche per valutare la posizione di sicurezza interna, per assicurarsi di stare al passo con gli stessi standard di settore a cui si attengono ai loro fornitori.

Passando attraverso l'HECVAT, un college o un'università può acquisire, aggiornare e mantenere il proprio hardware e software riducendo al minimo il rischio di una violazione dei dati. Consente inoltre di garantire che i fornitori di terze parti dispongano di quanto segue:

• Solide pratiche di sicurezza delle informazioni e controllo della sicurezza
• Programmi di sicurezza informatica aggiornati
• Politiche efficaci sulla privacy dei dati

La valutazione della sicurezza HECVAT aiuta a fornire agli istituti scolastici una visione più approfondita delle posizioni di sicurezza dei loro fornitori. Possono utilizzare lo strumento per dimostrare di aver eseguito una valutazione del rischio di sicurezza informatica e di disporre dei controlli di sicurezza necessari per garantire la protezione dei dati e mantenere i propri clienti al sicuro. Questo articolo discuterà perché HECVAT è importante e perché le scuole dovrebbero iniziare a integrare HECVAT nei loro programmi di gestione del rischio dei fornitori (VRM).

Che cos'è la valutazione della sicurezza HECVAT?

Lo strumento HECVAT è un questionario unico sviluppato dall'Higher Education Information Security Council (HEISC) di EDUCAUSE in collaborazione con il Research & Education Networks Information Sharing & Analysis Center (REN-ISAC), una coalizione che aiuta i membri ad analizzare e rispondere alle minacce alla sicurezza informatica, e Internet2, un consorzio di reti informatiche senza scopo di lucro.

HECVAT è stato influenzato da altre normative sulla sicurezza informatica, tra cui l'Health Insurance Portability and Accountability Act del 1996 (HIPAA) e il Payment Card Industry Data Security Standard (PCI DSS). Le aziende consolidate, quindi, possono scoprire di essere già conformi.

Inoltre, HECVAT può essere utilizzato anche in combinazione con altri framework come NIST SP 800-171, ISO 27001, FISMA e altri. Sebbene HECVAT sia stato sviluppato pensando all'istruzione superiore, qualsiasi azienda può utilizzare HECVAT come strumento di valutazione del rischio del fornitore.

Perché HECVAT è importante per i college e le università?

Le valutazioni del rischio e la responsabilità dei fornitori sono vantaggiose perché, anche quando un istituto di istruzione superiore dispone di eccellenti protezioni interne per la sicurezza informatica, le terze parti scarsamente protette possono essere potenziali punti deboli. L'utilizzo dei risultati di HECVAT può aiutare le organizzazioni a identificare i collegamenti deboli dei loro fornitori di servizi, rivelando potenzialmente problemi di sicurezza interna. Una singola terza parte compromessa può mettere a rischio l'intera organizzazione.

Oltre a essere utile per gli istituti di istruzione superiore che devono affrontare un processo di approvvigionamento per fornitori di terze parti, i professionisti IT possono anche utilizzare HECVAT per dimostrare la loro comprensione del rischio e la conformità agli standard di conformità HECVAT. In questo modo, il completamento di una valutazione HECVAT completa può dare un vantaggio ai fornitori che cercano di lavorare con gli istituti di istruzione superiore.

Un HECVAT completato può indicare alle università che un'azienda ha ridotto al minimo i rischi per la sicurezza. Può integrare l'appartenenza al Center for Internet Security (CIS), che aiuta a perfezionare le best practice e gli strumenti di sicurezza informatica. Ad esempio, anche l'Università dell'Indiana è iscritta al programma CIS SecureSuite per aiutare la sua strategia di difesa informatica.

Aumento dei rischi nell'istruzione superiore

Le scuole, in particolare gli istituti di istruzione superiore, hanno problemi di sicurezza unici per il settore. HECVAT aiuta a identificare le potenziali lacune di sicurezza che interessano il settore dell'istruzione più di altri settori, tra cui:

1. Le università e i college gestiscono e archiviano grandi quantità di dati istituzionali, rendendoli bersagli attraenti per i criminali informatici.
2. Molte università e college non hanno una comprensione del crimine informatico e della sicurezza informatica. Questo punto cieco espone queste istituzioni a un rischio maggiore di violazione della sicurezza rispetto ad altri settori che danno priorità alla sicurezza informatica.
3. Non esiste un processo di approvvigionamento standardizzato di terze parti tra gli istituti di istruzione superiore. Ogni università ha il proprio insieme di standard, che potrebbero non essere sufficienti per valutare i rischi di terze parti.
4. Le università sono spesso estremamente segmentate nelle loro politiche informatiche. Ogni dipartimento potrebbe avere i propri metodi di implementazione della sicurezza informatica o utilizzare le proprie soluzioni software, il che può portare a incongruenze in tutta la scuola. Ciò può portare a significativi problemi di sicurezza, compatibilità e comunicazione.
5. I membri del personale, i dipendenti e gli studenti utilizzano spesso dispositivi personali, il che può creare migliaia di rischi per la sicurezza degli endpoint. Senza una solida politica BYOD (bring your own device) o un'educazione sulle pratiche di navigazione web sicura, le scuole si espongono a un rischio maggiore di un attacco informatico.
6. Il settore dell'istruzione è uno dei settori con la peggiore sicurezza informatica. Le loro infrastrutture IT tendono a essere costruite male, i sistemi e le applicazioni non vengono aggiornati e le scuole spesso utilizzano ancora dispositivi legacy obsoleti che comportano seri rischi. I criminali possono sfruttare le vulnerabilità di software e dispositivi obsoleti per accedere a una rete e rubare dati.

7. Molti college operano con budget molto rigorosi che li costringono a decidere tra un team IT interno o investire in personale, strutture o dipartimenti aggiuntivi. Molti scelgono quest'ultimo perché non vedono un vantaggio immediato nel dare priorità alla sicurezza informatica.
8. Senza un focus sulla sicurezza informatica, è difficile per le scuole valutare correttamente i propri fornitori. Non tutti i fornitori di terze parti sono gli esperti che affermano di essere, né sono così diligenti come propongono. Prendere scorciatoie con fornitori di soluzioni economiche, come fornitori di servizi cloud non controllati, può mettere a rischio i college e i loro collaboratori.

Come la maggior parte degli altri settori, gli istituti di istruzione superiore si affidano sempre più alla tecnologia dell'informazione. La formazione online e l'apprendimento a distanza, ad esempio, richiedono la raccolta di nomi utente e password, tra gli altri dati privati. I registri riservati degli studenti, le ammissioni e le presenze sono sempre più monitorati, modificati e archiviati online.

Molte di queste istituzioni educative sono disastri per la sicurezza in attesa di accadere. I criminali informatici lo sanno bene. Possono attaccare queste organizzazioni con relativa facilità rispetto ad altre aziende e possono ottenere l'accesso a enormi quantità di dati personali, riservati e critici.

Scopri come gli istituti di istruzione possono conformarsi a HECVAT qui.

Cosa include HECVAT?

HECVAT comprende attualmente quattro strumenti principali:

1. HECVAT Full - Questo questionario HECVAT contiene 265 domande in 22 diverse sezioni. HECVAT Full offre uno sguardo completo e investigativo sugli impegni di condivisione dei dati più critici di un'istituzione ed è ALTAMENTE raccomandato per i fornitori di servizi che gestiscono PII, sia tramite servizi cloud che on-premise, o per coloro che non sono sicuri che i loro processi coinvolgano PII.
2. HECVAT Lite - La versione HECVAT Lite è un questionario più breve e meno approfondito che può essere utilizzato dai fornitori di servizi che non elaborano informazioni di identificazione personale (PII) o altri dati critici.
3. HECVAT On-Premise - I fornitori che non operano sul cloud e non gestiscono PII e dati critici possono utilizzare HECVAT On-Premise per valutare i propri rischi. L'on-premise è limitato alle aziende che ospitano i propri dati in loco.
4. HECVAT Triage - Le istituzioni possono utilizzare questo breve questionario per decidere quale dei tre strumenti precedenti utilizzare per le loro valutazioni.

Inoltre, gli istituti di istruzione superiore possono utilizzare il Community Broker Index (a volte indicato come Cloud Broker Index) per connettersi con i fornitori che dichiarano di aver completato questo strumento di valutazione dei fornitori di cloud per l'istruzione superiore. Tuttavia, si noti che l'accuratezza di queste informazioni dipende dai fornitori di soluzioni.

C'è anche un gruppo di utenti. Attraverso questo gruppo di lavoro sulle valutazioni condivise, i campus possono condividere informazioni, porre domande e richiedere modifiche per rendere il modello HECVAT più utile.

Secondo EDUCAUSE, più di 150 college e università utilizzano attualmente HECVAT. Questo numero continuerà a crescere, rendendo la sicurezza informatica per le scuole più sicura e protetta per il personale, gli studenti e i partner.

In che modo i criminali informatici attaccano gli istituti di istruzione superiore?

Tra il 2005 e il 2021, gli istituti scolastici hanno subito quasi 2000 violazioni dei dati. Gli attacchi informatici a college e università sono in aumento, in particolare ransomware e attacchi di phishing.

L'FBI ha iniziato a concentrarsi maggiormente sull'istruzione superiore, ma non è sufficiente fare affidamento sulle forze dell'ordine. Le istituzioni devono proteggersi prima di tutto e sono responsabili del benessere dei loro studenti, del personale e delle imprese associate. I criminali informatici che prendono di mira un'università rappresentano una minaccia per l'università e per tutti coloro che entrano in contatto con essa.

Ransomware nei college e nelle università

Il rapido aumento del numero di attacchi ransomware agli istituti di istruzione superiore ha posto l'accento sulla scarsa protezione e formazione delle scuole. Se un utente malintenzionato ottiene l'accesso non autorizzato al sistema della scuola, può bloccare tutti i sistemi e impedire l'accesso ai dati sensibili fino al pagamento di un riscatto.

Sebbene i funzionari delle forze dell'ordine e gli esperti di sicurezza informatica sconsiglino vivamente alle scuole di pagare qualsiasi tipo di riscatto, purtroppo non è sempre così. Le scuole più piccole rischiano di chiudere completamente se perdono l'accesso ai dati critici, poiché non possono essere operative senza di essi. Qualsiasi organizzazione colpita dal ransomware perde anche la fiducia degli studenti e dei clienti nella sua capacità di proteggere i suoi beni più importanti.

Scopri come i college e le università possono prevenire gli attacchi ransomware qui.

Phishing nell'istruzione superiore

La scarsa educazione informatica è una delle principali cause di attacchi di phishing che colpiscono college e università. Il phishing è un prodotto dei tentativi di ingegneria sociale di indurre gli utenti a fare clic su collegamenti dannosi o ad aprire file infetti. Non riuscire a riconoscere queste truffe è un fallimento dell'educazione da parte dell'università.

Tutto il personale, i dipendenti e gli studenti devono seguire una formazione di base sulla sicurezza informatica al momento dell'onboarding o dell'iscrizione alla scuola. Le scuole offrono spesso seminari o corsi di formazione relativi alle molestie sessuali, all'abuso di droghe e ad altri problemi di sicurezza: è tempo di includere anche pratiche di sicurezza informatica sicure.

Scopri di più sui tipi più comuni di attacchi di phishing.

Software e sistemi obsoleti e senza patch

I sistemi obsoleti e il software senza patch possono portare a vulnerabilità facilmente sfruttabili. I criminali informatici possono prendere di mira le scuole più vecchie che potrebbero ancora utilizzare la tecnologia legacy o il vecchio software che non è stato patchato per le vulnerabilità aperte. Le tecnologie e i sistemi più vecchi non sono attrezzati per difendersi dalle minacce informatiche moderne.

I budget dovrebbero essere creati con un investimento nel miglioramento della tecnologia e dei sistemi o le università creano un rischio significativo di essere violate. Come minimo, le scuole dovrebbero iniziare ad aggiornare il loro software e assicurarsi che tutto sia aggiornato all'ultima versione per iniziare a proteggersi.