Alors que les étudiants de tout le pays retournent sur le campus pour le début d’une nouvelle année scolaire, les administrateurs se préparent à lutter contre une tendance troublante : l’ augmentation des attaques de rançongiciels qui imprègnent le secteur de l’éducation.
En juin, par exemple, le réseau du Collège communautaire de Hawaï a été victime d’une attaque par rançongiciel par un mauvais acteur sans nom qui a compromis les informations personnelles de 28 000 personnes. Quatre mois plus tôt, une attaque par rançongiciel a frappé l’école supérieure Gaston en Caroline du Nord ; le groupe de rançongiciels Snatch a ensuite revendiqué sa responsabilité et exposé des informations personnelles à partir de ses bases de données, y compris les numéros de sécurité sociale, les publiant sur le dark web. Cette attaque a arrêté divers systèmes pour les enseignants et les étudiants et a mis le Wi-Fi sur le campus hors ligne pendant plusieurs semaines.
De janvier à juin, plus de 120 écoles, de K-12 secondaire et des établissements d’enseignement supérieur, ont souffert d’attaques par ransomware, un pic significatif sur le total des 188 incidents signalés en 2022, selon un rapport récent de la Fédération mondiale de résilience (Global Resilience Federation, GRF). Cette augmentation a propulsé le secteur de l’éducation de n° 7 à n° 6 dans le nombre total d’attaques par secteur du GRF par rapport à la période de déclaration précédente.
Après avoir suivi ces tendances, le gouvernement américain initie ce qui semble être une presse de plein droit sur le problème. Ces derniers mois, la Maison-Blanche, le Bureau fédéral d’enquête (FBI), le Département de l’éducation (DOE) et d’autres agences ont publié une série de plans, stratégies et guides pour aider à éduquer les éducateurs sur les meilleures pratiques de cybersécurité.
Mais écoutent-ils l’appel ? Ou, plus précisément, l’ont-ils même entendu ?
« J’ai depuis longtemps la conviction que le gouvernement bénéficierait de la création d’un directeur marketing pour socialiser plus efficacement l’incroyable travail qu’il accomplit », déclare Parham Eftekhari, fondateur et président de l’Institute for Critical Infrastructure Technology (ICIT). Le volume considérable de ressources provenant du gouvernement, affirme-t-il, est entravé par un marketing et des communications limités. « Il est difficile pour les parties prenantes de tout secteur d’avoir une connaissance situationnelle complète des documents d’orientation disponibles », déclare-t-il.
Cela doit changer, affirment les experts en cybersécurité. Le secteur de l’éducation est trop tentant pour une cible, et les cybercriminels ne perdent pas de temps à presser les écoles pour chaque gigaoctet de données qu’ils peuvent obtenir.
Pourquoi les cybergangs ciblent les écoles et quand
L’ impact des attaques par ransomware sur les écoles est significatif. Selon le gouvernement américain responsable (GAO), la perte d’apprentissage suite à une cyberattaque allait de trois jours à trois semaines, la récupération complète après l’événement a pris jusqu’à neuf mois et les pertes financières scolaires allaient de 50 000 à 1 million USD.
« Le secteur de l’éducation est une cible attrayante pour plusieurs raisons, mais la principale est le retour sur investissement relativement élevé, étant donné la quantité considérable de données sur les étudiants qui peuvent être vendues », déclare Doug Thompson, architecte principal de l’éducation chez la société de logiciels de cybersécurité Tanium (qui publie ce magazine). Le calendrier, ajoute-t-il, est un autre facteur.
Alors que la période la plus vulnérable d’une entreprise peut être difficile à prédire, elle nécessite une connaissance du fonctionnement interne d’une entreprise et de l’industrie dans son ensemble, les écoles sont dans les délais. « Les attaques ont tendance à frapper au début de l’année scolaire et au début du semestre de printemps, lorsque de nombreux nouveaux étudiants arrivent sur le campus, les facultés changent et le personnel informatique existant est encombré par des tâches banales telles que la réinitialisation des mots de passe et la maintenance de base du système », déclare Thompson.
Selon un rapport de Fitch Ratings, cette augmentation des attaques par ransomware a également eu un impact sur les primes de cyberassurance , qui ont augmenté de 51 %. Thompson conseille aux établissements d’enseignement de s’appuyer davantage sur l’acquisition de personnel, d’outils et de ressources autres que la cyberassurance pour lutter contre cette tendance. « Nous avons commencé à voir un changement de paradigme forcé s’éloigner de ce modèle en raison de la gravité croissante de l’augmentation des coûts de cyberassurance associée à la transition du chiffrement malveillant au vol de données pur et simple par les acteurs malveillants », déclare-t-il.
Vice Society, un groupe de rançongiciels connu pour ses attaques par extorsion contre les secteurs de la santé et de la fabrication, est à l’origine de ces menaces pour le secteur de l’éducation. Selon un rapport commun publié l’automne dernier par le FBI, la Cybersecurity and Infrastructure Security Agency (CISA) et le Centre d’analyse et de partage d’informations multi-États, la Vice Society a orchestré 21 attaques de ransomware contre le secteur de l’éducation au cours du second semestre 2022 et 15 incidents au cours du premier semestre 2023. Dans le sillage de Vice Society, LockBit 3,0, un groupe de rançongiciels qui a représenté 13 incidents dans le premier des 2022 et 25 incidents dans le premier semestre des 2023. Le rapport révèle que le groupe de Cl0p ransomwares (le plus récemment lié à la violation MOVEit) a également pris de l’avance au cours du premier semestre de cette année avec 13 incidents.
Les plans fédéraux et étatiques aident l’éducation à contrer les cyber-risques
Avec l’augmentation des attaques par ransomware, le rapport de GRF souligne la nécessité de défenses robustes, de politiques proactives et de collaboration à l’échelle du secteur.
« Il est difficile pour les parties prenantes de tout secteur d’avoir une connaissance situationnelle complète des documents d’orientation disponibles. »Parham Eftekhari, fondateur et président de l’Institute for Critical Infrastructure Technology
En juillet, la Maison-Blanche a publié son Plan national de mise en œuvre de la stratégie de cybersécurité, qui a identifié les infrastructures critiques du pays comme son premier pilier de défense et a souligné la nécessité de renforcer la sécurité nationale et la sécurité publique. Elle appelle à la standardisation de la cybersécurité dans ces secteurs essentiels et identifie les investissements dans la collaboration et le développement de la main-d’œuvre en cybersécurité comme des actions essentielles pour protéger l’infrastructure critique du pays.
Dans le but de renforcer les défenses de cybersécurité des systèmes scolaires de l’K-12 du pays, l’administration Biden a annoncé en août une série d’actions stratégiques et d’engagements en matière de ressources. À la tête de l’initiative, la présidente de la Commission fédérale des communications Jessica Rosenworcel a proposé un programme pilote sous le Fonds de service universel qui vise à allouer jusqu’à 200 millions USD sur trois ans pour les cyberdéfenses dans les écoles et bibliothèques K-12 et secondaire.
Pour assurer une coordination efficace entre les responsables de l’éducation fédérale, étatique, locale, tribale et territoriale, le DOE prévoit également d’ établir un Conseil de coordination gouvernemental. Le CCG dirigera les efforts visant à renforcer la résilience en matière de cybersécurité des écoles K-12 en facilitant la communication, la formulation des politiques et les activités collaboratives, déclare le DOE.
En outre, le DOE et la CISA ont conjointement publié des documents d’orientation complets et se sont engagés à fournir des évaluations personnalisées, à mener des cyber-exercices et à dispenser une formation à la cybersécurité pour 300 nouvelles entités de l’K-12 au cours de l’année scolaire à venir. Le FBI et le National Guard Bureau contribuent également à cet effort en mettant à jour les guides de ressources pour s’assurer que les responsables d’État disposent des ressources nécessaires pour signaler efficacement les incidents de cybersécurité et exploiter les capacités fédérales de cyberdéfense.
Renforcer les défenses de l’école commence ici
Certaines de ces initiatives gouvernementales peuvent en partie être alimentées par un rapport GAO troublant publié l’année dernière, dans lequel l’agence de surveillance a souligné un écart de communication majeur. « Il n’y a pas de canaux formels pour la manière dont les agences se coordonnent les unes avec les autres ou avec K-12 et secondaires pour traiter les risques ou incidents de cybersécurité », a déclaré le rapport. La GAO a proposé des recommandations pour améliorer la manière dont les agences coordonnent l’assistance à la cybersécurité.
« Les attaques ont tendance à frapper au début de l’année scolaire et au début du semestre de printemps, lorsque de nombreux nouveaux élèves arrivent sur le campus. »Doug Thompson, architecte en chef de l’éducation, Tanium
Un autre obstacle, moins discuté mais significatif, est la réceptivité des administrateurs scolaires à ce qui doit sembler être un afflux d’informations nouvelles et complexes. Malgré son importance critique, les directives émises par les agences gouvernementales peuvent sembler accablantes pour certains, concède Eftekhari de l’ICIT.
Cependant, il existe quelques premières étapes relativement simples que même les leaders les moins avertis en cybersécurité peuvent prendre pour renforcer les défenses scolaires. Commencez par ces quatre éléments :
1. Gardez un œil sur les nouvelles informations
Les éducateurs doivent s’inscrire aux alertes des agences, y compris le National Institute of Standards and Technology (NIST), le CISA, le DOE et l’ICIT, pour diversifier leurs canaux d’information, déclare Eftekhari. Il suggère également de configurer Google Alerts pour les mots-clés pertinents, tels que « cybersécurité du secteur de l’éducation » et « conseils fédéraux pour les éducateurs en cybersécurité » afin de rester au fait des dernières actualités et informations.
2. Cultiver l’intérêt pour la cybersécurité dès le début
Les éducateurs doivent réfléchir à la manière dont le programme scolaire et les activités extrascolaires peuvent susciter l’intérêt et l’enthousiasme pour les carrières basées sur la science et les mathématiques, explique Eftekhari. « Alors que le CISA, le NIST, l’éducation et d’autres agences ont et continueront de soutenir des programmes autour de l’éducation à la cybersécurité et du développement de la main-d’œuvre, il existe un sentiment d’urgence pour les éducateurs d’innover et d’ouvrir une nouvelle ère de l’apprentissage numérique. »
3. Investir dans plus que des appareils
Trop souvent, les écoles se concentrent sur l’obtention de X ordinateurs dans les salles de classe pour faciliter l’apprentissage des étudiants, note Thompson de Tanium. « La technologie de salle de classe sans les mesures de protection équivalentes en place est plus dangereuse qu’un manque d’appareils », déclare-t-il.
Alors, comment les écoles dont les budgets sont limités peuvent-elles se permettre d’acheter des plateformes de cybersécurité et du personnel informatique coûteux ? Ils partagent.
Dans ce qui est aujourd’hui une tendance croissante, de nombreuses municipalités et districts scolaires K-12 adoptent une solution « à l’échelle de l’État » en regroupant et en regroupant les ressources. Cette approche encourage un État à fournir un soutien à la gestion de la cybersécurité des petits groupes gouvernementaux locaux, des écoles et des entités tribales, en offrant des outils préapprouvés, des renseignements sur les menaces et des rapports, formations ou financements sécurisés, pour stimuler les cyberdéfenses.
4. Faites appel à des experts
Contactez un agent d’assurance local du FBI et le CISA régional pour obtenir des conseils supplémentaires sur les points de départ pour renforcer les défenses de cybersécurité de l’école, ajoute Eftekhari. D’autres compétences peuvent être trouvées dans des associations telles que la National Association of Counties et l’Association of School Business.
Les éducateurs doivent également rechercher un chapitre local d’un groupe de cybersécurité, InfraGard, Cybersecurity Collaboration Forums, ISACA, ISC2, pour n’en citer que quelques-uns, et voir quelles ressources et quel soutien ils peuvent fournir. Comme les élèves qui peuvent initialement se sentir timides à l’idée d’explorer des activités extrascolaires, les responsables de l’école trouveront que ces efforts de sensibilisation en valent la peine, conseille Eftekhari.
« La communauté de la cybersécurité est un réseau de professionnels accueillant et axé sur la communauté », déclare-t-il. « Ils sont presque toujours prêts à consacrer du temps à soutenir notre mission commune de résilience et de sécurité nationale. »
