I dispositivi IoT del tuo distretto scolastico sono sicuri?
L'ascesa delle tecnologie mobili e dell'Internet of Things (IoT) ha avuto un impatto enorme sulle scuole K-12, sia all'interno che all'esterno delle aule. I dispositivi connessi sono apparentemente ovunque, dalle lavagne interattive alle telecamere di sicurezza connesse, dai sistemi basati sul Web che gestiscono le apparecchiature ai sistemi di tracciamento GPS abilitati all'IoT che monitorano la posizione e il movimento degli scuolabus.
È importante sottolineare che ognuno di questi dispositivi connessi rappresenta un rischio per la sicurezza. E, una volta violate le vulnerabilità di un singolo dispositivo, la connettività dei dispositivi consente agli attori malintenzionati di muoversi lateralmente attraverso i dispositivi di un distretto scolastico, ponendo una minaccia imminente per la sicurezza e la protezione.
Questo post fornisce alcune delle best practice per garantire la sicurezza dei dispositivi IoT e dell'infrastruttura di un distretto scolastico. Ma, per arrivare alle best practice, partiamo dal punto più logico, ovvero dall'inizio.
Cos'è l'IoT?
L'Internet delle cose, come definito da Oracle, è la "rete di oggetti fisici, 'cose', che sono incorporati con sensori, software e altre tecnologie allo scopo di connettersi e scambiare dati con altri dispositivi e sistemi tramite Internet". SoftBank Group, una società di servizi Internet, prevede che ci saranno oltre un trilione di dispositivi connessi all'IoT entro il 2025, ovvero circa 100 dispositivi a persona.
Quindi, l'IoT ha una portata enorme, e questo aggrava un problema crescente. Anche se l'IoT continua con una crescita esponenziale, i leader di pensiero nel settore, come Forrester, ritengono che la maggior parte dei team di sicurezza non ha visibilità nella rete intricata dei dispositivi IoT.
La crescente minaccia delle vulnerabilità della sicurezza IoT
Molti dei rischi per la sicurezza dei dispositivi IoT sono il risultato del fatto che i produttori danno priorità al time-to-market rispetto a funzionalità di sicurezza più robuste. In sostanza, i produttori stanno distribuendo dispositivi con firmware e software che non sono "completamente cotti". Ad aggravare la mancanza di responsabilità da parte di alcuni produttori, c'è anche una mancanza generale di supervisione normativa che richiederebbe misure di sicurezza più robuste.
I dispositivi IoT non sicuri sono punti di partenza ideali per gli hacker malintenzionati che cercano di entrare in un ecosistema digitale. In molti distretti scolastici c'è una lacuna, che deve essere affrontata. Come riportato di recente da Comparitech, un sito Web di recensioni di prodotti per la sicurezza informatica e la privacy online, gli attacchi ransomware globali contro istituti di istruzione primaria e secondaria e superiore, che violano oltre 6,7 milioni di dati personali, si stima che costeranno oltre $53 miliardi di tempi di inattività tra il 2018 e metà settembre 2023.
Per sfruttare al meglio la rete basata sull'IoT di un distretto scolastico, i team IT dovrebbero integrare le sette best practice descritte di seguito.
7 buone pratiche per proteggere l'infrastruttura IoT di un distretto scolastico
1—Controllare attentamente i potenziali fornitori per garantire la priorità della sicurezza
Quando si fa una rosa di potenziali fornitori, assicurarsi che la sicurezza sia una voce di spesa nei criteri di valutazione. Quelli con una sicurezza debole, ovvero una cattiva reputazione sul mercato, dovrebbero essere eliminati prima ancora di entrare nella rosa dei candidati.
I venditori con una solida reputazione in materia di sicurezza saranno più costosi. Dovrebbero esserlo; si ottiene ciò per cui si paga (fare riferimento, ancora, a quella cifra di $53 miliardi menzionata sopra). Come dice il proverbio, "un'oncia di prevenzione vale una libbra di cura".
Una considerazione importante, tuttavia, è la necessità di accogliere iniziative "bring your own device" (BYOD) nei distretti scolastici. Poiché insegnanti, personale e studenti utilizzeranno dispositivi che potrebbero non essere completamente valutati dal team IT, non puoi fare affidamento esclusivamente sulla verifica completa dei fornitori.
2—Dividere la rete in sottosegmenti
La segmentazione di rete è una tattica in cui un distretto scolastico divide logicamente la sua rete più grande in sottoreti più piccole e relativamente autosufficienti, composte da cluster correlati di dispositivi e sistemi IoT, che richiedono una connettività minima tra loro. Questa tattica riduce al minimo il rischio e, in caso di vulnerabilità e minacce imminenti, il tuo team IT può isolare qualsiasi sottorete compromessa, in modo che l'intera rete rimanga sana e operativa.
3—Crittografare le connessioni di rete
Le reti private virtuali (VPN) sono un metodo comune per i distretti scolastici per connettere in modo sicuro personale, insegnanti e studenti, in particolare con applicazioni di apprendimento a distanza. Le VPN, pur essendo un ottimo punto di partenza, presentano alcune vulnerabilità. Poiché le VPN estendono essenzialmente la rete di un distretto, se l'utente remoto si trova su una rete non sicura, ad esempio uno studente su una rete domestica non sicura, esiste una maggiore possibilità che gli aggressori malintenzionati creino un'apertura in cui fare ulteriore leva.
Esistono opzioni per le VPN e, se il tuo distretto scolastico è grande e complesso, potrebbe essere necessaria una valutazione completa alternative.
4— Distribuisci la sicurezza degli endpoint
Negli ambienti BYOD come i distretti scolastici, la sicurezza degli endpoint applica la crittografia ai dispositivi approvati e di proprietà personale connessi alla rete del distretto, consentendo al team IT di essere a conoscenza in tempo reale dei dispositivi personali e delle eventuali minacce che rappresentano.
La sicurezza degli endpoint offre al tuo team IT una migliore visibilità nell'ecosistema connesso all'IoT e distribuisce requisiti di sicurezza aggiuntivi tra i dispositivi endpoint. In quanto tale, è un livello di sicurezza ideale per qualsiasi grande distretto scolastico che collega in rete molti dispositivi IoT.
5—Richiedere un'autenticazione rigorosa e continua da parte degli utenti
Le password, ovviamente, sono state la protezione di sicurezza de rigueur sin dall'inizio. Ma le password semplici non sono sufficienti e richiedere modifiche frequenti e password complesse sono approcci relativamente comuni. Aggiungere l'autenticazione a due fattori, ad esempio inviando un codice tramite SMS agli utenti dopo che hanno inserito le loro password, rafforza ulteriormente la sicurezza.
Le password, tuttavia, sono applicabili solo ai dispositivi IoT di una rete nelle mani di singoli utenti. Per i processi automatizzati con dispositivi IoT senza operatore, i requisiti delle password presentano significativi colli di bottiglia.
6—Implementare sistemi di monitoraggio
I sistemi di monitoraggio consentono ai distretti scolastici di supervisionare e proteggere le loro complesse reti di dispositivi IoT in modo centralizzato e strategico. Il monitoraggio dello stato del dispositivo, della salute del dispositivo e dei flussi di dati consente al team IT di identificare irregolarità e impedire accessi non autorizzati. Inoltre, questi sistemi forniscono avvisi e notifiche automatizzati che aiutano a prevenire e mitigare i danni di eventuali attacchi.
7—Facilitare la formazione continua del personale distrettuale
All'interno del distretto scolastico, solo il team IT può essere considerato esperto di sicurezza. Tuttavia, i non esperti, il personale e gli insegnanti hanno un impatto enorme sulla vulnerabilità di un distretto. Pertanto, una formazione approfondita è una "scelta ovvia". Una formazione continua e continua dovrebbe essere creata e fornita per formare il personale del distretto su come identificare minacce imminenti e limitare l'esposizione al rischio sui dispositivi
Conclusione
I dispositivi connessi hanno un impatto positivo sulla capacità di un distretto scolastico di adempiere alla propria missione in modo più efficace ed efficiente. Tuttavia, forniscono anche ad attori nefasti e maligni un potenziale punto di ingresso nell'intera rete. Tali rischi richiedono ai team IT del distretto di istituire misure di sicurezza complete.
Allo stesso tempo, i responsabili IT distrettuali devono garantire che i loro protocolli di sicurezza non limitino l'efficacia di ciò che le loro reti IoT sono progettate per raggiungere. Esamina le best practice di cui sopra e determina quale combinazione di esse fornisce il miglior valore sinergico al tuo distretto e ai suoi stakeholder.
