Som vogtere af yderst følsomme personlige oplysninger og forskning i verdensklasse er Storbritanniens videregående uddannelsesinstitutioner (HE) populære mål for både cyberkriminelle og nationalstater. Det burde sætte cyberrobusthed øverst på prioritetslisten for ITSO'er i branchen. Men som det nylige CrowdStrike-udbrud fremhævede, bør HE-sektoren være forberedt på mere end blot trusselsaktører.

Cyberresiliens er en integreret del af forretningskontinuiteten, men der er andre risici ved den information, som HE-institutionerne forvalter, og de tjenester, de leverer, som også skal styres. Heldigvis kan ISO 27001 også hjælpe ved at sikre informationssystemernes tilgængelighed, fortrolighed og integritet i tilfælde af en uventet afbrydelse.

Hvad skete der?

CrowdStrike-hændelsen, der muligvis er verdens værste IT-nedbrud , stammede fra en fejlbehæftet opdatering af virksomhedens Falcon-slutpunktssikkerhedsværktøj, hvilket forårsagede omfattende problemer med Microsoft Windows-computere, der kørte softwaren. Selvom mindre end 1% af de globale Windows-slutpunkter var påvirket, svarede dette til over otte millioner maskiner – hvoraf mange kørte kritiske tjenester på hospitaler, flyselskaber og videregående uddannelsesinstitutioner.

Ifølge rapporter blev tjenester på britiske videregående uddannelsesinstitutioner, herunder universiteterne i Manchester, East Anglia, Oxford Brookes, Lancaster og Aston, påvirket af afbrydelsen. Mange andre på den anden side af Atlanten blev også berørt, hvor studenterportaler blev lukket ned, og nogle blev tvunget til at lukke sommerkurser. Hvis en lignende hændelse var sket i løbet af semesteret, kunne afbrydelsen have været meget værre.

Bygge modstandsdygtighed

Britiske universiteter har i et stykke tid været på tilbagetog over for trusselsaktører. Ifølge regeringen har 97 % af de videregående uddannelsesinstitutioner identificeret et brud eller cyberangreb i det seneste år, hvor seks ud af 10 hævdede, at de var blevet negativt påvirket af det. En kombination af komplekse distribuerede netværk og et stort antal medarbejdere og studerende, der har brug for åben internetadgang, skaber en omfattende angrebsflade at forsvare sig mod. Ransomware, phishing, statsstøttet datatyveri og informationstyveri er udbredte. Og vedvarende økonomisk pres gør det vanskeligt for IT-chefer at prioritere, hvor udgifterne skal fokuseres.

Alligevel mener eksperter, at CrowdStrike-hændelsen bør være en katalysator for en bredere diskussion af it-resiliens, der går ud over at forhindre, opdage og reagere på ondsindede cyberhændelser. Ifølge Chris Gilmour, CTO for it-administrerede servicefirmaet Axians UK, bør planlægning af sådanne begivenheder komme sammen med de sædvanlige cyberhygiejne-elementer som patching, multi-factor authentication (MFA) og begrænsning af netværksadgang.

"Regelmæssig test af katastrofegenopretningsplaner og beredskabsplanlægning for 'venstre felt'-udfordringer er afgørende for at sikre, at de er effektive i tilfælde af en krise," siger han til ISMS.online. "Det er også utrolig vigtigt at fremme en kultur af sikkerhedsbevidsthed blandt personale og studerende, der kan hjælpe med at forhindre brud og mindske deres indvirkning."

Trend Micro UK & I teknisk direktør Bharat Mistry tilføjer, at HE forretningskontinuitetsplaner bør dække IT, kommunikation, dataadgang og undervisning.

"Disse planer bør identificere kritiske funktioner og systemer, skitsere klare procedurer for opretholdelse af væsentlige operationer under forstyrrelser og definere roller og ansvar for beredskabsteams, herunder kommunikationsprotokoller for interessenter," siger han til ISMS.online.

"Hyppige øvelser og simuleringer bør også udføres for at teste forretningskontinuitetsplaner og identificere svagheder. Dette hjælper med at sikre, at personalet er parat til at reagere effektivt under virkelige hændelser."

Teknologi- og sikkerhedsledere i HE bør også overveje den it-infrastruktur, de bruger. Mistry anbefaler cloud-baserede løsninger til at sikre tilgængelighed, belastningsbalancering og failover for at opretholde servicetilgængelighed, samt hybride cloud-arkitekturer til at sprede risikoen på tværs af flere miljøer.

"Undgå overdreven afhængighed af en enkelt leverandør eller system. Implementering af redundante systemer og diversificering af kritiske tjenester kan hjælpe med at opretholde driften, hvis et system svigter,” tilføjer han. "Dette inkluderer brug af flere cybersikkerhedsløsninger fra forskellige leverandører, vedligeholdelse af offline backup af kritiske data og systemer og implementering af redundante netværksforbindelser og strømforsyninger."

Både Gilmour og Mistry går også ind for postmortem efter hændelsen for at sikre, at it-teams lærer lektien af ​​alvorlige sikkerhedsbrud og afbrydelser. Disse kan hjælpe med at give "en grundig analyse af hændelser, afdække grundlæggende årsager og fremhæve områder for procesforbedringer" og fremme "en kultur af ansvarlighed og kontinuerlig læring på tværs af organisationen," siger Mistry.

ISO 27001 og derover

Spørgsmålet er: hvor skal man begynde? ISO 27001 og Cyber ​​Essentials er velkendte af mange it- og sikkerhedsledere som måder at forbedre grundlæggende cyber- og informationssikkerhed på. Men mens sidstnævnte fokuserer på tekniske kontroller til internet-vendte systemer for at minimere cyberrisiko, tilbyder ISO 27001 uden tvivl mere, der også kan bindes til planlægning af forretningskontinuitet/katastrofegendannelse.

Dette omfatter nøgleområder som:

  • Sælger risikostyring
  • Hændelsesreaktion
  • Kommunikation med interne og eksterne interessenter/kunder
  • Software test
  • Medarbejderuddannelse

Ved at bruge ISO 27001 som udgangspunkt kunne HE-organisationer opbygge cyberresiliens og samtidig skabe grundlaget for en mere omfattende tilgang til bredere it-resiliens.

"Ved at vedtage disse standarder kan universiteterne etablere en systematisk tilgang til risikostyring, hændelsesrespons og databeskyttelse. Disse rammer tilbyder et omfattende sæt af bedste praksis, der kan hjælpe organisationer med at identificere og adressere sårbarheder, øge deres modstandsdygtighed og overholde lovgivningsmæssige krav,” siger Axians UKs Gilmour.

"At vedtage og implementere processerne og politikkerne i disse standarder betyder, at universiteter kan forbedre deres cybersikkerhedsposition markant og beskytte deres følsomme data og operationer."

Trend Micros Mistry tilføjer, at mange organisationer starter med Cyber ​​Essentials og derefter bygger videre på det med den "mere omfattende" ISO 27001-standard for at forbedre sikkerheden og modstandskraften yderligere.

"Frameworks som ISO 27001 og Cyber ​​Essentials spiller en afgørende rolle i opbygningen af ​​it- og cyberresiliens, og tilbyder organisationer en struktureret vej til at forbedre deres sikkerhedspraksis," afslutter han. "Ved at udnytte disse rammer kan organisationer systematisk forbedre deres evne til at forebygge, opdage, reagere på og komme sig efter cyber-hændelser, hvilket i sidste ende styrke deres overordnede cyber-resiliens holdning."