Prijetnje i rizici za digitalnu sigurnost u obrazovnom okruženju

1. Uvod

U digitaliziranom obrazovnom okruženju fakulteti i druge obrazovne ustanove upotrebljavaju različite tehnologije za prijenos znanja, upravljanje podatcima i komunikaciju sa studentima. Iako to donosi mnoge prednosti, ono istodobno otvara vrata brojnim prijetnjama i rizicima za digitalnu sigurnost i privatnost korisnika.

Slika 9.: Glavni izazovi za digitalnu sigurnost u obrazovanju

2. Pregled glavnih izazova digitalne sigurnosti u obrazovanju

Digitalna transformacija obrazovanja donosi mnoge prednosti od pristupačnosti sadržaja do personaliziranog učenja, ali sa sobom nosi i niz sigurnosnih izazova koji mogu ugroziti integritet sustava, privatnost studenata i pouzdanost obrazovnog procesa. Škole, sveučilišta i druge obrazovne ustanove često nemaju dovoljno resursa ili stručnosti da se adekvatno nose s rastućim prijetnjama u digitalnom okruženju. Obrazovne ustanove imaju u pravilu više različitih dijelova informacijskih sustava koji dodatno situaciju čine još kompleksnijom za implementaciju sigurnosnih mehanizama.

Glavni izazovi s kojima se obrazovni sektor danas suočava:

1. tehnološki zastarjela oprema

Mnoge obrazovne ustanove koriste neke dijelove zastarjele opreme koji više ne dobivaju sigurnosna ažuriranja, čime postaju ranjivi na već poznate napade. Uz to, škole često nemaju specijalizirane IT timove koji bi provodili sustavno održavanje i sigurnosne nadogradnje. Izvor: Cybersecurity Considerations for K-12 Schools and School Districts

Primjer:

Medicinski fakultet Sveučilišta Stanford pretrpio je povredu podataka koja je dio kibernetičkog incidenta povezanog s uslugom za dijeljenje datoteka treće strane, nazvanom File Transfer Appliance (FTA), koju pruža tvrtka Accellion Inc.: Statement on the School of Medicine Cybersecurity Incident. Više o događaju pročitajte na poveznici.

2. slaba zaštita osobnih podataka

U školama i na fakultetima svakodnevno se prikupljaju osjetljivi osobni podatci: imena, adrese, OIB-ovi, ocjene, medicinski podatci pa čak i biometrijski zapisi (npr. u sustavima za evidenciju dolazaka). Ti se podatci često pohranjuju bez enkripcije, na nezaštićenim serverima ili se dijele s trećim stranama bez jasne pravne osnove. (Common Pitfalls in School Data Protection and How to Avoid Them)

Prema GDPR-u, škole su obvezne štititi osobne podatke svojih studenata, a povrede mogu rezultirati znatnim kaznama.

Više informacija: Vodiči i edukativni materijali o zaštiti osobnih podataka

3. phishing i socijalni inženjering

Phishing kampanje ciljaju nastavnike i studente putem e-poruka, nastojeći ih navesti da kliknu na zlonamjerne poveznice ili otkriju svoje pristupne podatke. Mlađi korisnici, ali i zaposlenici koji nisu educirani o osnovnim oblicima prijevara, lako postaju žrtve takvih napada.

Savjet: uvođenje obvezne edukacije o prepoznavanju lažnih poruka može znatno smanjiti broj uspješnih napada.

Kratki edukativni video: What is Phishing? 

4. nedovoljna kontrola pristupa

Računi studenata i nastavnika često se kreiraju bez odgovarajućih sigurnosnih postavki. Slabe lozinke, upotreba istih lozinki za više servisa i izostanak višefaktorske autentifikacije (MFA) otvaraju vrata neovlaštenom pristupu školskim platformama i podatcima.

Rješenje: implementacija politike složenih lozinki i MFA za sve korisnike sustava.

5. ovisnost o online alatima trećih strana

Platforme poput Google Workspace for Education, Microsoft Teams, Zoom i razni LMS sustavi (poput Moodlea) često obrađuju goleme količine podataka o korisnicima. Iako većina tih alata ima snažne sigurnosne mehanizme, njihova privatnost i način upotrebe podataka ne moraju uvijek biti u skladu s nacionalnim zakonodavstvom.

Ključno je pažljivo proučiti uvjete korištenja i osigurati da se podatci ne upotrebljavaju u komercijalne svrhe.

Europe PMC Prijetnje kibernetičkoj sigurnosti obrazovnim ustanovama: rastuća zabrinutost za novo doba kibernetičke sigurnosti

Zaključak

Glavni izazovi digitalne sigurnosti u obrazovanju proizlaze iz kombinacije tehničkih slabosti, nedovoljne edukacije korisnika i nejasnih pravila o korištenju podatcima. Njihovo rješavanje zahtijeva sustavan pristup koji uključuje tehnološka rješenja, pravne smjernice i stalnu edukaciju svih sudionika obrazovnog procesa.

3. Učinci kršenja privatnosti na obrazovni proces

Izvori:

• Flu jab email mishap exposes hundreds of students' personal data,  Flu Vaccine Email Error Exposes Student Data at Birmingham School
• Trove of L.A. Students’ Mental Health Records Posted to Dark Web After Cyber Hack
• Cyber attack - a summary

4. Strategije za rješavanje izazova digitalne sigurnosti

S obzirom na sve učestalije prijetnje digitalnoj sigurnosti od zlonamjernog softvera do krađe identiteta i povrede privatnosti, obrazovne ustanove trebaju poduzeti sustavne i proaktivne mjere zaštite. Dobre strategije uključuju ne samo tehnička rješenja, već i organizacijske politike te edukaciju korisnika.

U nastavku su ključne preporučene strategije:

Zaključak: Višeslojni pristup sigurnosti

Učinkovita zaštita obrazovne ustanove temelji se na višeslojnom pristupu, kombinaciji tehničkih mjera, organizacijskih politika i edukacije zaposlenika i studenata. Iako nijedna strategija nije 100 % učinkovita sama za sebe, njihova sinergija znatno smanjuje rizik od digitalnih prijetnji.

Preporučeni izvori za daljnje čitanje:

ENISA – Cybersecurity education maturity assessment 

5. Uloga tehnoloških inovacija u zaštiti privatnosti

Tehnologija ne samo da je transformirala način na koji učimo i poučavamo, već i pruža napredna rješenja za zaštitu osobnih podataka studenata, nastavnika i drugih sudionika obrazovnog procesa. Inovacije poput enkripcije, umjetne inteligencije (UI), automatizacije i sigurnosnog dizajna imaju ključnu ulogu u jačanju digitalne sigurnosti u obrazovnom okruženju.

1. Enkripcija podataka

Enkripcija (šifriranje) podataka omogućuje da se podatci pretvore u nečitljiv format za sve osim za ovlaštene korisnike s odgovarajućim ključem. Time se osigurava da čak i ako dođe do krađe ili curenja podataka, napadači ne mogu pročitati sadržaj.

Primjena u obrazovnim ustanovama:

• obrazovne ustanove mogu primjenjivati enkripciju za pohranu studentskih osobnih podataka (npr. ocjene, medicinske informacije i sl.) u informacijskim sustavima (ISVU)
• prijenos podataka između nastavnika i studenta putem e-pošte treba biti osiguran kriptografskim protokolom ili implementacijom klasifikacije dokumenata (Zakon o informacijskoj sigurnosti) na temelju kojeg će svi važni dokumenti biti zaštićeni s više sigurnosnih elemenata (povjerljivost, neporecivost, integritet, cjelovitost).

2. Sustavi umjetne inteligencije za detekciju prijetnji

Napredni algoritmi umjetne inteligencije mogu analizirati obrazac ponašanja korisnika i otkriti sumnjive aktivnosti koje upućuju na mogući sigurnosni incident poput neuobičajenih prijava, pokušaja pristupa zabranjenim dijelovima sustava ili širenja zlonamjernog softvera.

Primjer u praksi:

• Blackboard i Microsoft 365 Education integriraju UI sustave koji automatski prepoznaju neovlaštene pokušaje prijave i blokiraju ih u stvarnom vremenu.
• Sveučilišta u SAD-u koriste se umjetnom inteligencijom za praćenje kompromitiranih korisničkih računa i automatsko resetiranje lozinki.

Više informacija:
IBM – How AI is transforming cybersecurity

3. Sigurne platforme za učenje s ugrađenom zaštitom privatnosti (Privacy by Design)

„Privacy by Design" koncept je prema kojem se zaštita osobnih podataka ugrađuje u same temelje tehnologije i procesa, a ne dodaje naknadno. To znači da platforme poput LMS-a (npr. Moodle, Google Classroom) moraju imati:

• jasne kontrole pristupa
• mogućnost pseudonimizacije i anonimizacije podataka
• mehanizme za pristanak korisnika (consent management)
• transparentno prikazivanje tko, kada i zašto upotrebljava podatke.

Primjer:

Moodle omogućuje administratorima detaljnu kontrolu nad privatnošću korisnika, a sustav je dizajniran prema EU GDPR smjernicama.

Više o konceptu: Europski nadzornik za zaštitu podataka (EDPS) – Privacy by Design 

4. Automatizirani alati za provjeru dozvola i pristupa           

Ljudske pogreške kao što su pogrešno dodijeljena prava pristupa ili zaboravljena deaktivacija računa česti su uzroci sigurnosnih incidenata. Automatizirani alati za upravljanje identitetima i pristupom (IAM – Identity and Access Management) mogu:

• redovito provjeravati tko ima pristup kojim podatcima
• automatski onemogućiti pristup bivšim zaposlenicima ili studentima
• obavijestiti administratore o neuobičajenim aktivnostima.

Primjer:

Sveučilište u Zagrebu implementira LDAP sustav s automatiziranom kontrolom prava pristupa putem AAI@EduHr infrastrukture.

Zaključak

Tehnološke inovacije predstavljaju temelj zaštite privatnosti i sigurnosti u obrazovanju. No, njihova učinkovitost ovisi o tome kako ih ustanove implementiraju i u kojoj mjeri ih prate organizacijske promjene, politike, edukacija i nadzor. Ulaganjem u napredne tehnologije i njihove pravilne primjene, obrazovne ustanove mogu znatno smanjiti rizik od incidenata i istodobno jačati povjerenje studenata, roditelja i nastavnika.

6. Edukacija i svijest o digitalnoj sigurnosti i privatnosti

Iako su tehnološke mjere poput enkripcije, vatrozida, IDS, SIEM i MFA ključne za sigurnost digitalnih sustava, one same nisu dovoljne. Najveći sigurnosni rizik često su sami korisnici, njihovo nepoznavanje i nepridržavanje osnovnih pravila, nesmotrenost ili nepažnja i nepovjerenje u vlastitu sposobnost da prepoznaju prijetnje.

Zato je edukacija svih sudionika u obrazovnom procesu – studenata, nastavnika, administrativnog osoblja, ali i roditelja – ključna komponenta zaštite osobnih podataka i sustava.

1. Redovita edukacija nastavnika i studenata o digitalnoj higijeni

Digitalna higijena obuhvaća skup osnovnih navika koje korisnici trebaju usvojiti kako bi se ponašali odgovorno i sigurno na internetu:

• upotreba jakih i jedinstvenih lozinki
• redovito ažuriranje uređaja i softvera
• prepoznavanje lažnih poruka (phishing) i socijalnog inženjeringa
• zaštita osobnih informacija na društvenim mrežama
• sigurna uporaba javnih Wi-Fi mreža.

Primjer:

U Sloveniji je Ministarstvo obrazovanja u suradnji sa SI-CERT i ARNES organiziralo nacionalnu kampanju „Varni na internetu” koja uključuje edukativne brošure, videe i radionice za škole i roditelje.

Varni na internetu – edukacija i alati

2. Uvođenje kurikuluma o digitalnoj pismenosti i sigurnosti od rane dobi

Učenje o digitalnoj sigurnosti treba započeti već u osnovnoj školi, uz prilagođene sadržaje koji učenike upoznaju s pojmovima kao što su:

• digitalni identitet
• digitalni otisak
• privatnost i sigurnost
• cyberbullying, phishing, socijalni inženjering
• lažne vijesti (fake news) i manipulacija podatcima.

Cilj je pomoći djeci da razviju kritičko mišljenje i odgovorno ponašanje prema digitalnim tehnologijama.

3. Radionice i simulacije sigurnosnih incidenata

Praktična iskustva pomažu korisnicima da ne budu nepripremljeni u slučaju stvarne prijetnje i da imaju razrađen scenarij upravljanja kibernetičkim incidentom. Edukacije trebaju uključivati:

• simulacije phishing napada
• vježbe reagiranja na ransomware i ostale kibernetičke incidente
• scenarije krađe podataka ili pogrešnog dijeljenja informacija.

U takvim radionicama organizacije i polaznici uče i pripremaju infrastrukturu kako prepoznati prijetnju, kome se obratiti i koje korake poduzeti kako bi spriječili ili umanjili štetu i sl.

Primjer:

U Velikoj Britaniji škole često surađuju s organizacijom National Cyber Security Centre (NCSC) koja nudi besplatne cyber incident simulation toolkits i organizira edukativne događaje za djecu i nastavnike.

NCSC – CyberFirst Schools Program

Zaključak

Tehnologija može štititi sustave, ali samo edukacija može zaštititi korisnike. Ulaganje u kontinuirano obrazovanje o digitalnoj sigurnosti i privatnosti ključ je kibernetički sigurnog obrazovnog okruženja.

Edukacija ne smije biti jednokratna aktivnost, već kontinuirani proces koji se razvija i prilagođava novim prijetnjama i tehnologijama.