Équilibre entre accès et protection : Le CISO Malin

La cybersécurité dans le secteur de l’éducation revêt une importance capitale aujourd’hui. Les écoles, collèges et universités sont de plus en plus ciblés par les cybercriminels, avec des attaques par ransomware, des violations de données et des escroqueries de phishing qui représentent des menaces sérieuses pour les informations concernant les étudiants et le personnel. Le défi consiste à trouver un équilibre entre la nécessité d’une collaboration ouverte et des mesures de sécurité robustes, surtout dans un environnement d’apprentissage de plus en plus numérique. En adoptant des stratégies modernes comme les modèles Zero Trust, le chiffrement et le monitoring basé sur l’intelligence artificielle, les institutions doivent rester en avance face à l’évolution des cyber-risques. Dans cet article, AJ Thompson, CCO chez Northdoor ; Stefano Lodola, fondateur et auteur de cours chez Think in Italian ; et Vichai Levy, VP R&D, responsable de l’architecture chez Protegrity, examinent les défis pressants en matière de cybersécurité qui touchent le secteur éducatif ainsi que les solutions pouvant contribuer à les atténuer.

AJ Thompson, CCO chez Northdoor

Équilibrer l’accès ouvert avec la cybersécurité représente un défi pressant dans notre environnement hyperconnecté. Pour les institutions telles que les écoles, collèges et universités, qui mettent l’accent sur la collaboration et l’apprentissage, les risques liés aux cybermenaces ont considérablement augmenté. Les approches traditionnelles de la cybersécurité, qui reposent sur la sécurisation du périmètre du réseau, ne suffisent plus dans un monde où le travail flexible, les systèmes basés sur le cloud et les dispositifs personnels prédominent.

Un modèle de sécurité Zero Trust fournit un cadre pratique pour relever ces défis. Le principe fondamental du Zero Trust est simple : ne faire confiance à rien, ne faire confiance à personne. Cela signifie traiter chaque appareil, utilisateur et système comme une menace potentielle jusqu’à vérification. Pour les établissements d’enseignement, cette approche garantit que les étudiants, le personnel enseignant et le personnel administratif n’accèdent qu’aux ressources auxquelles ils sont explicitement autorisés, réduisant ainsi les opportunités de menaces internes et externes.

Au cœur de cette stratégie se trouve une sécurité en couches appliquée à tous les aspects du réseau, y compris les utilisateurs, les dispositifs, les applications et les bases de données. Par exemple, les étudiants accédant à des plateformes d’apprentissage en ligne peuvent se voir attribuer des permissions limitées à ces systèmes, tandis que le personnel travaillant à distance utilise une authentification multifactorielle pour vérifier son identité. Ces mesures assurent que l’accès est accordé uniquement lorsque cela est nécessaire et approprié.

L’intelligence artificielle joue un rôle clé dans l’amélioration de ce cadre. Les outils basés sur l’IA peuvent surveiller les réseaux en temps réel, signalant une activité suspecte telle que des modèles de connexion inhabituels ou des transferts de données non autorisés. Ces systèmes peuvent trier les alertes, permettant aux équipes de cybersécurité de se concentrer sur les menaces les plus urgentes et de réagir rapidement pour atténuer les violations potentielles.

Le passage à un apprentissage hybride et une connectivité accrue créent également de nouvelles vulnérabilités, comme les campagnes de phishing et les ransomwares visant étudiants et personnel. En adoptant un modèle Zero Trust, les établissements d’enseignement peuvent aborder proactivement ces risques tout en maintenant l’ouverture nécessaire à la collaboration et à l’apprentissage.

En fin de compte, l’objectif est de trouver un équilibre entre sécurité et accessibilité. Une approche Zero Trust complète ne restreint pas les utilisateurs légitimes mais garantit que les données sensibles, systèmes et ressources sont protégés contre un paysage de menaces en constante évolution. Les institutions éducatives doivent reconnaître que compter sur des stratégies obsolètes n’est plus viable, et que l’adoption de solutions modernes et adaptatives est essentielle pour garantir la sécurité dans un environnement numérique de plus en plus complexe.

Stefano Lodola, fondateur et auteur de cours chez Think in Italian

Avant de devenir éducateur et auteur de cours, j’ai exercé en tant que CISO dans le secteur éducatif. Je dirais que trouver un équilibre entre l’accès ouvert à l’information et les risques de cybersécurité nécessite une approche différente et multifacette. Je tiens à souligner que les universités prospèrent grâce au partage d’informations ouvertes et à la collaboration, ce qui crée un point unique de vulnérabilités. C’est pourquoi, pour moi, une stratégie de sécurité uniforme ne sera pas efficace et il est certainement nécessaire de créer une stratégie qui prenne en compte les besoins uniques de l’institution.

Pour atténuer ces risques, il est essentiel de réaliser des évaluations de risque approfondies pour identifier les vulnérabilités spécifiques à l’institution. Cela inclut l’évaluation de la sécurité des données de recherche, de la propriété intellectuelle et des informations des étudiants. Je prioriserais également la conformité à des réglementations telles que la FERPA, la HIPAA, la GLBA et le RGPD. Un suivi continu des systèmes et des réseaux serait également une priorité à l’aide d’outils robustes pour détecter et répondre aux menaces. Il est également important de favoriser une culture de sécurité au sein de l’institution.

Je devrais également élaborer un plan de réponse aux incidents pour minimiser les dommages et assurer une récupération rapide en cas de violation. Enfin, je veillerais à rester informé des menaces et technologies émergentes pour maintenir l’institution en avance sur les problèmes potentiels en matière de cybersécurité.

Vichai Levy, VP R&D, responsable de l’architecture chez Protegrity

La fréquence des violations de données dans le secteur éducatif a augmenté de manière significative en 2023, compromettant les informations privées des étudiants, parents et éducateurs. Cela met en évidence une vulnérabilité importante : bien que les écoles s’appuient de plus en plus sur des outils et plateformes numériques pour améliorer l’apprentissage, beaucoup manquent de mesures de cybersécurité solides pour protéger les données sensibles.

Selon un rapport de Sophos, 80 % des écoles K–12 et 79 % des établissements d’enseignement supérieur aux États-Unis ont été touchés par des attaques par ransomware en 2022, marquant une nette augmentation par rapport aux années précédentes. Ces incidents soulignent la menace croissante pesant sur les institutions éducatives, où les cyberattaques exploitent souvent les vulnérabilités des systèmes, mettant en grave danger les données des étudiants et du personnel.

De faibles mesures de cybersécurité ont rendu les institutions éducatives des cibles attrayantes pour les cybercriminels. Les données du rapport Sophos State of Education 2024 révèlent que 85 % des attaques par ransomware sur les écoles K–12 et 77 % sur les établissements d’enseignement supérieur impliquaient un chiffrement des données. Les coûts liés à la récupération ont été significatifs, doublant pour les écoles K–12 et quadruplant pour les universités.

Un problème clé est que les institutions éducatives divulguent souvent les violations de données lentement. Par exemple, seulement 29 % des écoles K–12 annoncent publiquement les cyberattaques, bien que le nombre réel d’incidents soit probablement plus élevé. Ce manque de transparence augmente considérablement les risques, car les individus peuvent rester dans l’ignorance que leurs informations personnelles ont été compromises pendant une période prolongée, rendant plus difficile la prévention d’un usage abusif ultérieur des données volées.

Pour mieux se défendre contre les cybermenaces, les CISO du secteur éducatif doivent prioriser les investissements dans des solutions de protection des données complètes. Le chiffrement et la tokenisation sont deux techniques puissantes qui peuvent aider à protéger les données des étudiants et des enseignants en les rendant inutilisables sans les clés de déchiffrement appropriées. Même si des attaquants réussissent à pénétrer un système, les données chiffrées restent inaccessibles.

Les écoles doivent également adopter des politiques de cybersécurité transparentes. Il est crucial de collaborer avec des fournisseurs externes pour s’assurer que tous les outils et plateformes numériques respectent des normes de sécurité strictes. De plus, promouvoir la sensibilisation à la cybersécurité parmi les parents, les éducateurs et les étudiants peut réduire le risque d’erreurs humaines, comme tomber dans des pièges de phishing.

Bien que le secteur éducatif soit souvent négligé dans les discussions sur la sécurité des données, il constitue indéniablement une cible de choix dans le paysage actuel des menaces. Protéger toutes les données est important, mais préserver les informations personnelles des jeunes étudiants est particulièrement crucial. En investissant dans des technologies adaptées à la protection des données et en cultivant une culture de cybersécurité, les écoles peuvent améliorer leurs défenses et protéger l’avenir de tant d’étudiants que d’éducateurs.