Som voktere av svært sensitiv personlig informasjon og forskning i verdensklasse er Storbritannias høyere utdanningsinstitusjoner populære mål for både nettkriminelle og nasjonalstater. Det burde sette cyberrobusthet øverst på prioriteringslisten for ITSO-er i bransjen. Men som det nylige CrowdStrike-avbruddet fremhevet, bør høyere utdanningssektoren være forberedt på mer enn bare trusselaktører.

Cyberresiliens er en integrert del av forretningskontinuiteten, men det er andre risikoer knyttet til informasjonen som UH-institusjonene forvalter og tjenestene de leverer som også må administreres. Heldigvis kan ISO 27001 også hjelpe ved å ivareta informasjonssystemers tilgjengelighet, konfidensialitet og integritet i tilfelle en uventet forstyrrelse.

Hva skjedde?

CrowdStrike-hendelsen, som muligens ble beskrevet som verdens verste IT-avbrudd , stammet fra en feilaktig oppdatering av firmaets Falcon-sluttpunktsikkerhetsverktøy, noe som forårsaket omfattende problemer med Microsoft Windows-datamaskiner som kjørte programvaren. Selv om mindre enn 1 % av globale Windows-sluttpunkter ble påvirket, tilsvarte dette over åtte millioner maskiner – hvorav mange drev kritiske tjenester på sykehus, flyselskaper og høyere utdanningsinstitusjoner.

Ifølge rapporter ble tjenester ved britiske høyere utdanningsinstitusjoner, inkludert universitetene i Manchester, East Anglia, Oxford Brookes, Lancaster og Aston, påvirket av strømbruddet. Mange andre på den andre siden av Atlanterhavet ble også rammet, med studentportaler som ble stengt og noen tvunget til å stenge sommerkurs. Hvis en lignende hendelse hadde skjedd i løpet av semesteret, kunne forstyrrelsene ha vært mye verre.

Bygge motstandskraft

Britiske universiteter har vært i tilbakeskritt mot trusselaktører en stund. Ifølge myndighetene identifiserte 97 % av høyere utdanningsinstitusjoner et sikkerhetsbrudd eller cyberangrep i løpet av det siste året, og seks av ti hevdet at de hadde blitt negativt påvirket av det. En kombinasjon av komplekse distribuerte nettverk og et stort antall ansatte og studenter som trenger åpen internettilgang, skaper en omfattende angrepsflate å forsvare seg mot. Løsepengevirus, phishing, statsstøttet datatyveri og informasjonssvindel er utbredt. Og vedvarende økonomisk press gjør det vanskelig for IT-sjefer å prioritere hvor utgiftene bør fokuseres.

Likevel mener eksperter at CrowdStrike-hendelsen bør være en katalysator for en bredere diskusjon om IT-resiliens som går utover å forhindre, oppdage og reagere på ondsinnede cyberhendelser. I følge Chris Gilmour, CTO for IT-administrerte tjenester-firmaet Axians UK, bør planlegging av slike arrangementer komme sammen med de vanlige cyberhygieniske stiftene som patching, multi-faktor autentisering (MFA) og begrense nettverkstilgang.

"Regelmessig testing av katastrofegjenopprettingsplaner og beredskapsplanlegging for 'venstre felt'-utfordringer er avgjørende for å sikre at de er effektive i tilfelle en krise," sier han til ISMS.online. "Det er også utrolig viktig å fremme en kultur for sikkerhetsbevissthet blant ansatte og studenter som kan bidra til å forhindre brudd og redusere deres innvirkning."

Trend Micro UK & I teknisk direktør Bharat Mistry legger til at HE forretningskontinuitetsplaner bør dekke IT, kommunikasjon, datatilgang og undervisning.

"Disse planene bør identifisere kritiske funksjoner og systemer, skissere klare prosedyrer for å opprettholde viktige operasjoner under forstyrrelser, og definere roller og ansvar for beredskapsteam, inkludert kommunikasjonsprotokoller for interessenter," sier han til ISMS.online.

"Hyppige øvelser og simuleringer bør også utføres for å teste forretningskontinuitetsplaner og identifisere svakheter. Dette bidrar til å sikre at personalet er forberedt på å reagere effektivt under virkelige hendelser.»

Teknologi- og sikkerhetsledere i HE bør også vurdere IT-infrastrukturen de bruker. Mistry anbefaler skybaserte løsninger for å sikre tilgjengelighet, lastbalansering og failover for å opprettholde tjenestetilgjengelighet, samt hybride skyarkitekturer for å spre risikoen over flere miljøer.

«Unngå overavhengighet av én enkelt leverandør eller system. Implementering av redundante systemer og diversifisering av kritiske tjenester kan bidra til å opprettholde driften hvis ett system svikter, legger han til. "Dette inkluderer bruk av flere cybersikkerhetsløsninger fra forskjellige leverandører, vedlikehold av offline sikkerhetskopier av kritiske data og systemer, og implementering av redundante nettverkstilkoblinger og strømforsyninger."

Både Gilmour og Mistry tar også til orde for postmortem etter hendelsen for å sikre at IT-team lærer leksjonene om alvorlige sikkerhetsbrudd og avbrudd. Disse kan bidra til å gi «en grundig analyse av hendelser, avdekke rotårsaker og fremheve områder for prosessforbedring» og fremme «en kultur for ansvarlighet og kontinuerlig læring på tvers av organisasjonen», sier Mistry.

ISO 27001 og utover

Spørsmålet er: hvor skal man begynne? ISO 27001 og Cyber ​​Essentials er velkjent for mange IT- og sikkerhetsledere som måter å forbedre grunnleggende cyber- og informasjonssikkerhet på. Men mens sistnevnte fokuserer på tekniske kontroller for internettvendte systemer for å minimere cyberrisiko, tilbyr ISO 27001 uten tvil mer som også kan knyttes til forretningskontinuitet/katastrofegjenopprettingsplanlegging.

Dette inkluderer nøkkelområder som:

  • Leverandørrisikostyring
  • Hendelsesrespons
  • Kommunikasjon med interne og eksterne interessenter/kunder
  • Programvare testing
  • Ansattes opplæring

Ved å bruke ISO 27001 som utgangspunkt, kan HE-organisasjoner bygge cyberresiliens og samtidig legge grunnlaget for en mer omfattende tilnærming til bredere IT-resiliens.

«Ved å ta i bruk disse standardene kan universiteter etablere en systematisk tilnærming til risikostyring, hendelsesrespons og databeskyttelse. Disse rammeverkene tilbyr et omfattende sett med beste praksis som kan hjelpe organisasjoner med å identifisere og adressere sårbarheter, forbedre deres motstandskraft og overholde regulatoriske krav, sier Gilmour fra Axians UK.

"Å vedta og implementere prosessene og retningslinjene til disse standardene betyr at universiteter kan forbedre sin cybersikkerhetsposisjon betydelig og beskytte sine sensitive data og operasjoner."

Trend Micros Mistry legger til at mange organisasjoner starter med Cyber ​​Essentials og deretter bygger på det med den "mer omfattende" ISO 27001-standarden for å forbedre sikkerheten og motstandskraften ytterligere.

"Rammer som ISO 27001 og Cyber ​​Essentials spiller avgjørende roller i å bygge IT og cyberresiliens, og tilbyr organisasjoner en strukturert vei for å forbedre deres sikkerhetspraksis," konkluderer han. "Ved å utnytte disse rammeverkene kan organisasjoner systematisk forbedre sin evne til å forebygge, oppdage, reagere på og komme seg etter cyber-hendelser, og til slutt styrke deres generelle cyber-resiliens holdning."