Osnovna načela dobre informacijske varnosti

Slaba higiena na področju informacijske varnosti lahko vpliva na sposobnost delovanja šole, njen ugled in njene zakonske obveznosti glede varstva osebnih podatkov.

Informacijska varnost pomeni zaščito naprav, ki jih vsi uporabljamo in zaščito storitev, do katerih dostopamo do spleta (doma in v službi) pred krajo ali škodo.

Gre tudi za preprečevanje nepooblaščenega dostopa do ogromne količine osebnih podatkov, ki jih hranimo na teh napravah in na spletu.

Zakaj je informacijska varnost pomembna za šole?

Vse več šol se sooča z informacijskimi incidenti. Lahko gre zgolj za »fishing«, lažni poskus kraje denarja in gesel ali zahteve po odkupnini, v zameno za programsko opremo, ki preprečuje dostop do datotek. Ampak zakaj?

Številni informacijski incidenti so nenamerni. Vplivajo lahko na katero koli šolo, ki nima osnovne stopnje zaščite.

V šolah je veliko občutljivih informacij. Na primer, bančni podatki o osebju in starših, zdravstvene informacije o študentih, varovanje evidenc. Vse to mora biti varno in zaupno.

Spletni kriminalci želijo zaslužiti. Razumejo, da so informacije organizacij pogosto dovolj pomembne za te organizacije, da bi lahko bile pripravljene plačati odkupnino, da bi jih dobile nazaj. 

Kdo stoji za kibernetskimi/informacijskimi napadi?

Spletni kriminalci resnično dobro vedo, kako je mogoče zaslužiti, na primer s krajo in prodajo občutljivih podatkov ali z blokado, zaklepanjem ali uničenjem podatkov v sistemih, za kar zahtevajo odkupnino.

Hekerji kot posamezniki z različnimi stopnjami strokovnega znanja, vedno delujejo namerno, a ni nujno, da želijo škodovat. Morda le preizkušajo svoje sposobnosti in zaradi  svojega delovanja povzročijo motnje.

Zlonamerni poznavalci uporabijo svoj dostop do podatkov ali omrežij organizacije za izvajanje zlonamernih dejavnosti, na primer kraje občutljivih napak, da jih delijo konkurenci.

Posebne enote (vojaške ali civilne obveščevalne službe), katerih namen je zbiranje obveščevalnih podatkov o nacionalno varnostnih sistemih držav, o ključnih odločevalcih v državah in podobno, do katerih lahko pridejo tudi posredno preko znancev , prijateljev, družinskih članov in podobno. S tem poskušajo svoji državi pridobiti gospodarsko, politično, ekonomsko ali kakšno drugo prednost.

Vojaške enote - praviloma delujejo le, ko gre za izvedbo kibernetskega napada na državo, s katero so v vojaškem konfliktu, političnem konfliktu in to izvedejo kot povračilni udarec ali sankcijo in podobno.

Script kiddies je populacija najstnikov, ki preprosto uživa v izzivu, da preizkusi svoje kibernetske sposobnosti, pri čemer lahko nenamerno povzroči škodo.   

Moč gesel

Gesla so brezplačen, enostaven in učinkovit način, ki ob pravilni uporabi in izvajanju preprečijo dostop nepooblaščenim uporabnikom do naprav ali omrežij. Tukaj je opisano, kako jih dobro uporabiti:

• Za vsak račun oziroma storitev naj bodo gesla različna. Če to ni mogoče, se prepričajte, da imajo vsaj vaši najbolj občutljivi računi unikatna gesla.
• Če morate zapisati gesla, jih hranite varno in stran od svoje naprave.
• Razmislite o uporabi upravitelja gesel ali vprašajte svojo IT ekipo, če je to možno.
• Na občutljivih računih uporabite dve faktorski avtentikaciji (2FA). Tako dobite dvojno preverjanje in potrditev, da ste resnično tisti, za katerega trdite, da ste.

Ko odstopite ali prenehate uporabljati svojo napravo, vedno zaklenite račun tudi, če traja le minuto. To velja v šoli ali pri delu od doma.

Ustvarjanje gesel

Dober način ustvarjanja močnega in nepozabnega gesla je uporaba treh naključnih besed.

Gesla naj bodo enostavna za nas, a težka za druge. Priporočamo, da v geslo niso vključeni:

• partnerjevo ime
• otrokovo ime
• rojstni datum
• ime hišnega ljubljenčka
• kraj rojstva
• najljubši dopust
• nekaj, kar je povezano z vašo najljubšo športno ekipo.

Kako izbrati in si zapomniti geslo? 

Uporabite frazo, stavek ali kaj podobnega in nato izberite prvo (drugo,…) črko posamezne besede. Npr. iz stavka “tole geslo si je res enostavno zapomniti”  dobimo geslo “tgsjrez”.  

Pazite na "phishing"

V značilnem napadu z lažnim predstavljanjem, prevaranti pošiljajo ponarejena e-poštna sporočila tisočim ljudem in prosijo za občutljive podatke (npr. bančne podatke) ali vsebujejo povezave do slabih spletnih mest. To storijo, da bi ukradli vaše podatke, jih prodali ali morda dostopali do podatkov vaše organizacije.

Na lažno pošiljanje e-poštnih sporočil je treba opozarjati na različnih ravneh, saj le tako lahko pride do njihovega zmanjšanja. Kako to storiti? Tu je nekaj usmeritev/smernic IT ekipe:

• "Če dvomite, pokličite". Vedno prosite za nasvet, če niste prepričani, ali je povezava ali e-pošta zakonita.
• Ne počutite se neumno, če mislite, da ste bili »ujeti«. To se lahko zgodi vsakomur. Vendar to sporočite svojemu učitelju ali IT skupini, da karseda zmanjšajo možnost škode.
• Spoznajte običajne tehnike lažnega predstavljanja (glejte spodaj).

Zastave z lažnim predstavljanjem

Nekatera lažna sporočila z lažnimi identitetami so bolj izpopolnjena od drugih, vendar pomaga, da se zavedamo nekaterih bolj očitnih namigov. Pozorni bodite:

• Ali lažna sporočila ne vsebujejo posnetkov logotipov slabe kakovosti?
• Ali obstajajo črkovalne oziroma slovnične napake?
• Vas v sporočilu nagovarjajo kot "dragi prijatelj", ne pa po imenu?
• Ali vas prosijo, da ukrepate nujno?
• Ali se sporočilo nanaša na prejšnje, ki pa se ga ne spomnite?

USB, nosilci podatkov ali »PEN POGON«

USB-ji so koristen način za prenos podatkov, vendar lahko tudi širijo viruse in zlonamerno programsko opremo z enega računalnika ali omrežja v drugega. Morda boste želeli razmisliti o drugih načinih prenosa podatkov, ki nudijo večjo varnost, npr. shranjevanje besed ponudniku spletnega prostora za shranjevanje ali pošiljanje e-pošte sebi.

Če pa morate uporabiti USB ključek, to storite previdno.

• Uporabljajte samo USB ključke, ki jih je nabavila šola. Uporabljajte jih varno in ne uporabljajte svojih ali podarjenih.
• Prepričajte se, da je USB ključek zaščiten z geslom. To pomeni, da bodo podatki, shranjeni na njem, šifrirani, zato do njih ne bo mogoče dostopati, v primeru, izgube ali kraje USB ključka.
• Če obstaja možnost "avtomatiziranja" programov iz USB-ja, se prepričajte, da je ta izključena, zato je treba datoteke najprej preveriti.

Delo od doma

Še vedno ste odgovorni za varovanje delovnih informacij, ko dostopate do njih doma. Ti nasveti lahko pomagajo zmanjšati možnosti, da bi se kateri koli incident informacijske varnosti prenesel z domačih naprav v šolsko omrežje ali obratno.

• Uporaba posodobljenih antivirusnih programov v svojih napravah.
• Prenesite vse posodobitve programske opreme takoj, ko bodo na voljo.
• Zagotovite, da imajo vse vaše naprave kode za dostop. (Tudi če prenosni računalnik uporabljate samo za delo, na primer, je to mogoče sinhronizirati s telefonom ali s tabličnim računalnikom).
• Spremenite vsa privzeta gesla na napravah ali programski opremi - vključno z domačim Wi-Fi.
• Vključite dvofaktorsko overjanje (2FA) za občutljive račune. Če to ni zvedljivo, vprašajte zaposlene na svojem IT oddelku.

Enostavno do spletne varnosti

Preprosti koraki, ki lahko odločilno vplivajo na varnost, zato jih ne pozabite:

• Nikoli ne prezrite posodobitve programske opreme - vsebujejo popravke, ki varujejo vas in vašo šolo.
• Kadar naprave ne uporabljate, jo vedno zaklenite.
• Prenašajte samo aplikacije in programsko opremo iz uradnih trgovin z aplikacijami oziroma glede tega zaupajte svojemu IT strokovnjaku.
• Ne delite računov z drugimi.
• Ustvarite kulturo spraševanja. Če se vam nekaj zdi nenavadno oziroma čudno, pridobite drugo mnenje.