Чек-лист информационной безопасности вуза от Эмиля Ахтямова

1. Стратегия безопасности и регламенты

В вузах обязательно должна быть разработана стратегия безопасности и определен ответственный за ее исполнение. Также необходимо разработать регламенты реагирования на возможные уязвимости на любом уровне начиная от вирусов на комьютерах сотрудников, заканчивая взломом сайта и утечкой персональных данных.

2. Защита сетей

Сети вуза должны быть спроектированы определенным образом в целях их защиты, в том числе разделены на закрытую и открытую. 

3. Защита сайтов

Как мы увидели в 2022 году и наверняка снова увидим в период приемных кампаний, сайты вузов представляют собой важные инфраструктурные объекты. В апреле-мае может снова возникнуть риск атак. В прошлом году некоторым вузам не удавалось восстановить доступ к сайтам в течение недели. 

Стандартный комплекс мер безопасности включает в себя следующие действия: создавать сложные пароли, не показывать панель администрирования сайта вовне, организовать современное, не устаревшее веб-окружение. Необходимо установить определенные продукты, которые позволят реагировать на хакерские атаки. 

См. публикацию о решениях Positive technologies и Mask Safe. 

В работе с СибГМУ, к примеру, все созданные интернет-агентством “Паравеб” сайты мы отдаем системному администратору вуза, который вносит их в свой контур, чтобы обеспечить безопасность сайтов и усложнить вход в панель администратора с непроверенных устройств. Если начинается DdoS-атака, фаервол уведомляет об этом. 

4. Защита серверов, персональных данных и рабочих мест. 

Обрабатывать и хранить персональные данные необходимо в соответствии с 152 ФЗ. Создавать хотя бы еженедельные резервные копии. Ограничить круг лиц, у которых есть доступ к серверам. Шифровать серверы и ограничивать доступ к критичным серверам, на которых происходит подсчет заработной платы и ведется учет контингента студентов, кадрового состава — оставить доступ к подобным серверам только изнутри.

В нашей практике случалось такое, что вирус попадал на компьютер к пользователю с доступом к панели администратора сайта. И официальный сайт вуза был заражен вирусом через компьютер сотрудника. 

Также в России случалось такое, когда школьники и студенты находили в интернете инструкции о том, как с помощью флешки запустить вирус на компьютер преподавателя и таким образом украсть его персональные данные, пароли и прочее. Сегодня не нужно быть профессиональным хакером, чтобы взломать компьютер через флеш-накопитель.  

А если такой преподаватель еще и имеет доступ к панели администратора сайта вуза или его отдельного подразделения, то вирус с его компьютера может проникнуть в базу данных сайта, в сеть просочатся личные данные пользователей, а вуз получит штраф. 

Для важных документов в вузе может иметь смысл выделить компьютер, который будет работать в отдельной защищенной сети.