Mentre gli studenti di tutto il Paese tornano nei campus per l’inizio del nuovo anno scolastico, i dirigenti scolastici si preparano a contrastare una tendenza preoccupante: l’ e aumento degli attacchi ransomware che stanno interessando il settore dell’istruzione.
Nel mese di giugno, ad esempio, la rete dell’Hawai’i Community College è stata vittima di un attacco ransomware di tipo “ ” da parte di un malintenzionato non identificato, che ha compromesso i dati personali di 28.000 persone. Quattro mesi prima, un attacco ransomware aveva colpito il Gaston College nella Carolina del Nord; il gruppo Snatch ha successivamente rivendicato la responsabilità dell’attacco e ha reso pubbliche sul dark web informazioni personali relative a , tratte dai propri database, tra cui i numeri di previdenza sociale. Questo attacco ha causato l'interruzione del funzionamento di vari sistemi destinati al personale docente e agli studenti e ha reso inoperativo il Wi-Fi del campus per diverse settimane.
From January through June, more than 120 schools—both K-12 and higher education institutions—suffered ransomware attacks, a significant spike from the 188 total incidents reported in 2022, according to a recent report from the Global Resilience Federation (GRF). Tale aumento ha fatto salire il settore dell’istruzione dal 7 ° al 6 ° posto nella classifica stilata dal GRF relativa al numero totale di attacchi per settore, rispetto al periodo di riferimento precedente.
Dopo aver monitorato queste tendenze, il governo degli Stati Uniti sta avviando quella che sembra essere un’azione a tutto campo per affrontare il problema. Negli ultimi mesi, l’ , la Casa Bianca, il Federal Bureau of Investigation (FBI), il Dipartimento dell’Istruzione (DOE) e altre agenzie hanno pubblicato una serie di piani, strategie e guide volte a fornire formazione agli operatori del settore dell’istruzione in materia di sicurezza informatica e di migliori pratiche.
Ma stanno dando ascolto a questo appello? O, per dirla in modo più preciso, l’hanno mai sentita?
«Da tempo sono convinto che il governo trarrebbe vantaggio dall’istituzione di una figura di responsabile del marketing (Chief Marketing Officer) per diffondere in modo più efficace l’incredibile lavoro che svolge», afferma Parham Eftekhari, fondatore e presidente dell’Institute for Critical Infrastructure Technology (ICIT). L'enorme mole di risorse fornite dal governo, sostiene, è ostacolata da attività di marketing e comunicazione limitate. «Per gli operatori di qualsiasi settore è difficile avere una visione completa dei materiali di orientamento disponibili», afferma.
Questa situazione deve cambiare, affermano gli esperti di sicurezza informatica. Il settore dell’istruzione rappresenta un bersaglio troppo allettante e i criminali informatici non perdono tempo nel spremere le scuole per ottenere ogni gigabyte di dati possibile.
Perché le bande di hacker prendono di mira le scuole — e in quali circostanze
L'impatto degli attacchi ransomware sulle scuole è significativo. Secondo il rapporto “ ” (La sicurezza informatica nelle scuole: un’analisi del costo delle interruzioni) pubblicato dall’Ufficio per la responsabilità amministrativa del governo degli Stati Uniti (GAO), la perdita di apprendimento a seguito di un attacco informatico variava da tre giorni a tre settimane, il pieno recupero dall’evento richiedeva fino a nove mesi e le perdite finanziarie subite dalle scuole variavano da 50.000 a 1 milione di dollari.
«Il settore dell’istruzione rappresenta un obiettivo allettante per diversi motivi, ma quello principale è il ritorno sull’investimento relativamente elevato, data l’enorme quantità di dati relativi agli studenti che possono essere venduti», afferma Doug Thompson, capo architetto per il settore dell’istruzione presso l’azienda di software per la sicurezza informatica Tanium (che pubblica questa rivista). La tempistica, aggiunge, è un altro fattore.
Mentre il periodo di maggiore vulnerabilità di un’azienda può essere difficile da prevedere — poiché richiede una conoscenz e dei meccanismi interni dell’azienda e del settore nel suo complesso — le scuole seguono un calendario prestabilito. «Gli attacchi tendono a verificarsi all’inizio dell’anno scolastico e all’inizio del semestre primaverile, quando un gran numero di nuovi studenti arriva nel campus, il corpo docente subisce cambiamenti e il personale informatico esistente è impegnato in attività di routine quali la reimpostazione delle password e la manutenzione di base dei sistemi», afferma Thompson.
Questo aumento degli attacchi ransomware ha inoltre influito sui premi delle assicurazioni contro i rischi informatici , che hanno registrato un aumento sbalorditivo del 51%, secondo un rapporto di Fitch Ratings . Thompson consiglia agli istituti di istruzione di fare maggiore affidamento sue di investire in personale, strumenti e risorse diverse dall’assicurazione contro i rischi informatici per contrastare questa tendenza. «Abbiamo iniziato a osservare un cambiamento di paradigma forzato che si allontana da questo modello, dovuto alla crescente gravità dell’aumento dei costi delle assicurazioni contro i rischi informatici, unita al passaggio dalla crittografia dolosa al vero e proprio furto di dati da parte degli autori delle minacce», afferma.
In prima linea tra queste minacce al settore dell’istruzione vi è Vice Society, un gruppo di autori di ransomware noto soprattutto per gli attacchi estorsivi ai danni dei settori sanitario e manifatturiero. Secondo un rapporto congiunto intitolato “ ” ( ), pubblicato lo scorso autunno dall’FBI, dalla Cybersecurity and Infrastructure Security Agency (CISA) e dal Multi-State Information Sharing and Analysis Center, Vice Society ha orchestrato 21 attacchi ransomware contro il settore dell’istruzione nella seconda metà del 2022 e 15 incidenti nella prima metà del 2023. Sulla scia di Vice Society segue a ruota LockBit 3,0, un gruppo di ransomware responsabile di 13 incidenti nel primo semestre del 2022 e di 25 incidenti nel primo semestre del 2023. Il gruppo di ransomware Cl0p (recentemente collegato alla violazione dei dati subita da MOVEit presso l’ ,) ha registrato anch’esso un’impennata nella prima metà di quest’anno, con 13 incidenti, secondo quanto emerge dal rapporto.
I programmi federali e statali aiutano il settore dell’istruzione a contrastare i rischi informatici
Alla luce del crescente numero di attacchi ransomware, il rapporto del GRF sottolinea la necessità di difese solide, politiche proattive e una collaborazione a livello di settore.
“Per gli operatori di qualsiasi settore è difficile avere una visione completa dei documenti orientativi disponibili.””Parham Eftekhari, fondatore e presidente dell’Institute for Critical Infrastructure Technology
Nel mese di luglio, la Casa Bianca ha pubblicato il proprio “Piano di attuazione della Strategia nazionale per la sicurezza informatica” ( ), che ha individuato le infrastrutture critiche della nazione come primo pilastro della difesa e ha sottolineato la necessità di rafforzare la sicurezza nazionale e la sicurezza pubblica. Il documento sollecita la standardizzazione della sicurezza informatica in questi settori essenziali e individua gli investimenti nella collaborazione e nello sviluppo delle competenze del personale addetto alla sicurezza informatica come azioni fondamentali per salvaguardare le infrastrutture critiche della nazione.
Nel tentativo di rafforzare le difese in materia di sicurezza informatica dei sistemi scolastici nazionali dalla scuola dell’infanzia alla scuola secondaria di primo grado, l’amministrazione Biden ha annunciato nel mese di agosto una serie di azioni strategiche e impegni in termini di risorse. A guidare l’iniziativa, la presidente della Commissione Federale delle Comunicazioni (FCC) Jessica Rosenworcel ha proposto un programma pilota nell’ambito del Fondo per il Servizio Universale, volto a stanziare fino a 200 milioni di dollari nell’arco di tre anni per le misure di difesa informatica nelle scuole primarie e secondarie e nelle biblioteche.
Al fine di garantire un coordinamento efficace tra i responsabili dell’istruzione a livello federale, statale, locale, tribale e territoriale, il Dipartimento dell’Istruzione (DOE) intende inoltre istituire un Consiglio di coordinamento governativo. Il GCC guiderà gli sforzi volti a rafforzare la resilienza in materia di sicurezza informatica delle scuole primarie e secondarie, facilitando la comunicazione, la formulazione delle politiche e le attività di collaborazione, afferma il DOE.
Inoltre, il DOE e la CISA hanno pubblicato congiuntamente una serie di linee guida esaustive e si sono impegnati a fornire valutazioni personalizzate, a condurre esercitazioni di sicurezza informatica e a erogare corsi di formazione in materia di sicurezza informatica a 300 nuovi enti scolastici della scuola primaria e secondaria nel prossimo anno scolastico. Anche l’FBI e l’Ufficio della Guardia Nazionale stanno contribuendo a tale sforzo aggiornando le guide alle risorse, al fine di garantire che i funzionari statali dispongano delle risorse necessarie per segnalare gli incidenti di sicurezza informatica e avvalersi in modo efficace delle capacità federali di difesa informatica.
Il rafforzamento delle misure di sicurezza nelle scuole inizia qui
Alcune di queste iniziative governative potrebbero essere in parte alimentate da un preoccupante rapporto del GAO ( ) intitolato “ ” (La gestione delle relazioni con i media da parte del Dipartimento della Difesa), pubblicato lo scorso anno, in cui l’agenzia di controllo ha evidenziato un grave divario comunicativo. «Non esistono canali formali che regolino il coordinamento tra le agenzie o con le scuole primarie e secondarie per affrontare i rischi o gli incidenti legati alla sicurezza informatica», si legge nel rapporto. Il GAO ha formulato una serie di raccomandazioni volte a migliorare il modo in cui le agenzie coordinano l’assistenza in materia di sicurezza informatica.
«Gliattacchi tendono a verificarsi all’inizio dell’anno scolastico e all’inizio del semestre primaverile, quando un gran numero di nuovi studenti arriva nel campus.”Doug Thompson, responsabile della progettazione didattica presso l’ Tanium
Un altro ostacolo, meno discusso ma comunque significativo, è la disponibilità dei dirigenti scolastici ad accogliere quella che deve apparire come una valanga di informazioni nuove e complesse. Nonostante la loro fondamentale importanza, le linee guida diffuse dalle agenzie governative possono risultare opprimenti per alcuni, ammette Eftekhari dell’ICIT.
Esistono tuttavia alcune misure iniziali relativamente semplici che anche i dirigenti meno esperti in materia di sicurezza informatica possono adottare per rafforzare le difese della scuola. Inizi con questi quattro:
1. Si tenga d’occhio le nuove informazioni
Gli operatori del settore dell’istruzione dovrebbero iscriversi ai servizi di avviso offerti da enti quali il National Institute of Standards and Technology (NIST), la CISA, il DOE e l’ICIT, al fine di diversificare i propri canali di informazione, afferma Eftekhari. Suggerisce inoltre di impostare degli avvisi su Google per parole chiave pertinenti, quali “sicurezza informatica nel settore dell’istruzione” e “linee guida federali per i docenti di sicurezza informatica”, al fine di rimanere aggiornati sulle ultime notizie e informazioni.
2. Stimolare fin da subito l’interesse per la sicurezza informatica
Gli educatori dovrebbero riflettere su come i programmi scolastici e le attività extrascolastiche possano stimolare l’interesse e l’entusiasmo per le carriere nel campo delle scienze e della matematica, afferma Eftekhari. «Sebbene la CISA, l’ NISTe, il Dipartimento dell’Istruzione e altre agenzie abbiano sostenuto e continueranno a sostenere programmi incentrati sulla formazione in materia di sicurezza informatica e sullo sviluppo della forza lavoro, vi è un senso di urgenza affinché gli educatori innovino e inaugurino una nuova era dell’apprendimento digitale».
3. Investite in qualcosa di più dei semplici dispositivi
Troppo spesso, le scuole si concentrano esclusivamente sull’obiettivo di dotare le aule di un determinato numero di computer per facilitare l’apprendimento degli studenti, osserva Thompson dell’ Tanium. «La tecnologia in classe, in assenza di adeguate misure di sicurezza, è più pericolosa della mancanza di dispositivi», afferma.
Come fanno, quindi, le scuole con budget limitati a permettersi costose piattaforme di sicurezza informatica e personale informatico? Condividono.
In quella che ormai rappresenta una tendenza in crescita, molti comuni e distretti scolastici primari e secondari stanno adottando una soluzione “” a livello statale, unendo le forze e mettendo in comune le risorse. Tale approccio incoraggia lo Stato a fornire sostegno alla gestione della sicurezza informatica da parte di enti locali di dimensioni più ridotte, scuole ed enti tribali, mettendo a disposizione strumenti preapprovati, informazioni sulle minacce e canali di segnalazione sicuri, formazione o finanziamenti, al fine di potenziare le difese informatiche.
4. Affidatevi agli esperti
Si rivolgano a un agente locale dell’FBI e al responsabile regionale della CISA per ulteriori consigli su come iniziare a rafforzare le difese di sicurezza informatica della scuola, aggiunge Eftekhari. È possibile reperire ulteriori competenze presso associazioni quali la National Association of Counties e l’Association of School Business.
Gli insegnanti dovrebbero inoltre cercare una sezione locale di un’associazione specializzata in sicurezza informatica — InfraGard, Cybersecurity Collaboration Forums, ISACA, ISC2, solo per citarne alcune — e verificare quali risorse e quale sostegno siano in grado di fornire. Proprio come gli studenti, che inizialmente potrebbero mostrarsi titubanti nell’affrontare le attività extrascolastiche, anche i dirigenti scolastici scopriranno che tali iniziative di coinvolgimento valgono ampiamente il tempo dedicato, consiglia Eftekhari.
«L’ Community , dedicato alla sicurezza informatica, è una rete di professionisti accogliente e orientata all’ Community», afferma. «Sono quasi sempre disposti a dedicare il proprio tempo a sostegno della nostra missione comune di resilienza e sicurezza nazionale.»
