Nawet najlepiej zaprojektowany i zabezpieczony system będzie podatny na incydenty, jeżeli użytkownicy nie będą stosować zabezpieczeń - podkreśla Spółka Librus, dostawca jednego z e-dzienników, w liście do szefowej MEN. Postuluje jednocześnie wprowadzenie obowiązku stosowania silniejszych zabezpieczeń.
Włamanie do Librusa
W minioną niedzielę doszło do włamania do dziennika elektronicznego Librus w Zespole Szkół Ekonomiczno-Gastronomicznych im. Stanisława Staszica w podwarszawskim Otwocku. Jak podała szkoła doszło do tego poprzez przejęcie konta jednego z nauczycieli.
W poniedziałek, komentując tę sprawę, ministra edukacji Barbara Nowacka powiedziała, że otrzymała informacje o trzech przypadkach włamania do e-dzienników. Zaznaczyła, że ministerstwo nie odpowiada za tworzenie dzienników elektronicznych i przechowywanie baz danych.
– To jest działalność stricte komercyjna. Nie znamy przyczyn (włamania - PAP), więc nie chciałabym zbyt dużo mówić o tym, dlaczego tak się stało, co się wydarzyło, bo po prostu tego nie wiemy – powiedziała. Zaznaczyła, że resorty edukacji i cyfryzacji prowadzą prace nad stworzeniem centralnego, państwowego dziennika elektronicznego. System logowania do niego oparty ma być na mObywatelu.
Polska pracuje nad państwowym e-dziennikiem
Z kolei wiceministra edukacji Katarzyna Lubnauer. odnosząc się do sprawy włamań do e-dzienników, powiedziała, że „po to m.in. innymi robimy dziennik elektroniczny państwowy, żeby mieć pewność nie tylko kwestii dostępności, tego, że to będzie narzędzie dostępne za darmo dla nauczycieli i samorządów, ale również ze względu na bezpieczeństwo”.
Przejęto konto nauczyciela
Prezes Librus Sp. z o.o. Marcin Kempka w wystosowanym we wtorek liście otwartym do szefowej MEN podkreślił, że w szkole w Otwocku „nie doszło do »przełamania zabezpieczeń systemu«, lecz do przejęcia konta nauczyciela i wykorzystania go do działań w dzienniku elektronicznym konkretnej szkoły, czyli upraszczając, do nieuprawnionego wykorzystania loginu i hasła nauczyciela”. „Warto podkreślić, że incydenty polegające na przejęciu danych uwierzytelniających są dziś jednym z najczęstszych problemów cyberbezpieczeństwa w wielu branżach, w tym często w polskich szkołach — niezależnie od tego, czy system, z którego placówka korzysta, jest komercyjny czy byłby państwowy” - dodał.
„Trzeba jednak uczciwie powiedzieć, że nawet najlepiej zaprojektowany i zabezpieczony system będzie podatny na incydenty, jeżeli użytkownicy nie będą stosować udostępnionych im zabezpieczeń. Zarówno na poziomie logowania pojedynczego użytkownika, jak i na poziomie rozwiązań udostępnionych administratorowi systemu, czyli szkole” - wskazał Kempka.
Zaznaczył, że obecnie standardem podnoszenia bezpieczeństwa kont jest uwierzytelnianie dwuskładnikowe, czyli tzw. 2FA.
„Dla Librusa bezpieczeństwo danych uczniów, rodziców i nauczycieli jest obszarem absolutnie priorytetowym. Od lat udostępniamy szkołom narzędzia, takie jak właśnie 2FA. Inwestujemy w zabezpieczenia techniczne, monitoring i mechanizmy ograniczające ryzyko przejęcia danych dostępowych. Prowadzimy szkolenia i kampanie edukacyjne” - poinformował.
„Z praktyki wiemy jednak, że w obliczu braku jednoznacznych wymogów prawnych w oświacie i wsparcia organizacyjnego dla placówek, wiele z nich nie wdraża tego rozwiązania” - napisał Kempka. Podał, że tylko 18,63 proc. nauczycieli korzysta obecnie z 2FA w logowaniu do e-dziennika Librusa.
„To niestety oznacza, że aż 81,37 proc. kont nauczycieli nie wymaga podania drugiego składnika, czyli jest potencjalnie zagrożone przejęciem do nich dostępu. Niestety m-Obywatel czy alternatywa w postaci publicznego systemu tego nie zmieni, ponieważ problemem nie jest brak dostępnych narzędzi zabezpieczających, ale brak świadomości, że korzystanie z nich jest w dzisiejszej rzeczywistości konieczne” - zaznaczył.
„Po wielu latach działań edukacyjnych prowadzanych przez nas i inne firmy widać, że sama edukacja — bez wymogów i wsparcia legislacyjnego — ma naturalne ograniczenia” - napisał Kempka.
Dlatego postuluje zmianę rozporządzenia dotyczącego prowadzenia dokumentacji przebiegu nauczania i wprowadzenie wiążących zapisów obligujących do wykorzystywania rozwiązania 2FA w e-dziennikach – tak, aby objęły one każdą szkołę i każdy system – komercyjny czy publiczny. „Tak długo jak bezpieczeństwo korzystania z dzienników elektronicznych przez pracowników szkół będzie w przepisach oświatowych pomijane, a tym samym »nieobowiązkowe«, tak długo takie sytuacje będą się powtarzać” - dodał.
Ktoś pozmieniał uczniom oceny
Dyrekcja Zespołu Szkół Ekonomiczno-Gastronomicznych w Otwocku wydała oświadczenie, w którym poinformowała, że w niedzielę stwierdzono naruszenie ochrony danych osobowych, polegające na nieautoryzowanym dostępie osoby trzeciej do konta jednego z nauczycieli szkoły. Sprawca dokonał nieuprawnionej modyfikacji ocen śródrocznych z języka polskiego oraz rozesłał wiadomości treści o charakterze wulgarnym i obraźliwym. „Naruszenie dotyczy danych osobowych uczniów oraz ich rodziców/opiekunów prawnych w zakresie obejmującym: imiona i nazwisko, informacje o wynikach w nauce, informacje o frekwencji oraz dane kontaktowe powiązane z kontem w dzienniku” - podano.
Szkoła poinformowała, że natychmiast po stwierdzeniu naruszenia, podjęto działania zmierzające do wyjaśnienia przyczyny ujawnienia danych i wdrożenia działań zapobiegających takim sytuacjom w przyszłości oraz, że konto, z którego korzystał sprawca zostało zablokowane, a poprawna dokumentacja ocen została przywrócona. Dodano, że pracownicy szkoły zostali przeszkoleni z zasad bezpiecznego przetwarzania danych osobowych i otrzymali wytyczne dotyczące korzystania z systemów informatycznych. „W ramach działań zapobiegających wystąpieniu podobnych sytuacji w przyszłości, podjęto decyzję o przypomnieniu pracownikom zasad zabezpieczenia danych osobowych w systemach informatycznych" - czytamy. Sprawę naruszenia zgłoszono do Prezesa Urzędu Ochrony Danych Osobowych oraz na Policję. Szkoła zaleca rodzicom i uczniom m.in. zmianę hasła do e-dziennika oraz poczty elektronicznej powiązanej z nim, niezwłoczną zmianę haseł w innych serwisach (jeśli używali tego samego hasła oraz zachowanie czujności wobec ewentualnych prób wyłudzenia danych poprzez wiadomości e-mail i SMS.
Zgodnie z rozporządzeniem ministra edukacji w sprawie sposobu prowadzenia przez publiczne przedszkola, szkoły i placówki dokumentacji przebiegu nauczania, działalności wychowawczej i opiekuńczej, szkoła może, ale nie musi, prowadzić dziennik elektroniczny. Jeśli organ prowadzący zdecyduje się na prowadzenie e-dziennika w szkołach, to on wybiera dostawcę a szkoła musi przestrzegać wymogów bezpieczeństwa określonych w rozporządzeniu. (PAP)
dsr/ ktl/
