Uczelnie wyższe mają specyficzny problem z cyberbezpieczeństwem, którego nie ma większość firm — co roku do sieci uczelnianej dołączają tysiące nowych użytkowników (studentów pierwszego roku), z bardzo różnym poziomem świadomości zagrożeń, a jednocześnie z dostępem do zasobów, które mogą obejmować dane badawcze, systemy rekrutacyjne i infrastrukturę o dużej skali. Dr inż. Adrian Kapczyński z Politechniki Śląskiej, prezentując na konferencji Uczelnie organizowanej przez GigaCon, mówił o kształtowaniu kultury cyberbezpieczeństwa w środowisku akademickim jako procesie ciągłym, a nie jednorazowym szkoleniu na start roku.
Klasyczne szkolenie z cyberbezpieczeństwa dla studentów pierwszego roku — obowiązkowy kurs, zaliczenie testem — rzadko przekłada się na realną zmianę zachowań. Kapczyński podkreślał, że skuteczniejsze okazują się działania wplecione w codzienne funkcjonowanie uczelni — np. symulowane kampanie phishingowe, które uczą rozpoznawania zagrożeń na konkretnych, praktycznych przykładach, zamiast na abstrakcyjnej teorii.
Kompetencje, nie tylko procedury
Ważnym wątkiem, który przewijał się w wystąpieniu, było rozróżnienie między nauczeniem studentów przestrzegania procedur a budowaniem u nich realnych kompetencji w zakresie oceny ryzyka. Procedura mówi, co robić w konkretnej, przewidzianej sytuacji. Kompetencja pozwala rozpoznać zagrożenie, które nie pasuje do żadnego znanego wzorca — a to właśnie tego typu nowe, nieszablonowe ataki stanowią dziś największe ryzyko.
Dr Agata Majchrowska z Research Lab CODR.pl, prezentując na tej samej konferencji temat łączenia IT z edukacją, zwracała uwagę, że uczelnie mają unikalną okazję kształtowania nawyków cyfrowych, które studenci poniosą później do swoich miejsc pracy — dobra praktyka wpojona na studiach ma szansę zostać na lata, znacznie dłużej niż jednorazowe szkolenie w korporacji.
Skala problemu wymaga skali rozwiązania
Przy tysiącach użytkowników nie da się polegać wyłącznie na indywidualnej czujności — potrzebne są systemowe zabezpieczenia (filtrowanie ruchu, segmentacja sieci) jako siatka bezpieczeństwa na wypadek, gdy edukacja zawiedzie. Oba podejścia — techniczne i edukacyjne — muszą działać razem, bo żadne z osobna nie daje wystarczającej ochrony przy tak dużej i zmiennej populacji użytkowników.
Jeśli odpowiadacie za bezpieczeństwo IT na uczelni, warto zobaczyć, jak inne instytucje akademickie podchodzą do tego wyzwania. Zapisz się na konferencję Uczelnie organizowaną przez GigaCon.