Som väktare av mycket känslig personlig information och forskning i världsklass är Storbritanniens högre utbildningsinstitutioner populära måltavlor för både cyberbrottslingar och nationalstater. Det borde sätta cybermotståndskraft högst upp på prioriteringslistan för ITSO:er i branschen. Men som det senaste CrowdStrike-avbrottet visade, bör HE-sektorn vara beredd på mer än bara hotaktörer.

Cyberresiliens är en integrerad del av affärskontinuiteten, men det finns andra risker med den information som högskolorna hanterar och de tjänster de levererar som också måste hanteras. Lyckligtvis kan ISO 27001 också hjälpa till genom att säkra informationssystemens tillgänglighet, konfidentialitet och integritet i händelse av ett oväntat avbrott.

Vad hände?

CrowdStrike-incidenten, som beskrivs som möjligen världens värsta IT-avbrott , berodde på en felaktig uppdatering av företagets Falcon-slutpunktssäkerhetsverktyg, vilket orsakade omfattande problem med Microsoft Windows-datorer som körde programvaran. Även om mindre än 1 % av de globala Windows-slutpunkterna påverkades, motsvarade detta över åtta miljoner maskiner – av vilka många drev kritiska tjänster på sjukhus, flygbolag och högre utbildningsinstitutioner.

Enligt rapporter påverkades tjänster vid brittiska högre utbildningsinstitutioner, inklusive universiteten i Manchester, East Anglia, Oxford Brookes, Lancaster och Aston, av avbrottet. Många andra på andra sidan Atlanten påverkades också, då studentportaler stängdes ner och vissa tvingades stänga sommarkurser. Om en liknande incident hade inträffat under terminstid kunde störningarna ha varit mycket värre.

Bygga motståndskraft

Brittiska universitet har haft det svårt att hantera hotande aktörer under en tid. Enligt regeringen identifierade 97 % av universiteten inom högre utbildning ett intrång eller en cyberattack under det senaste året, och sex av tio uppgav att de hade påverkats negativt av det. En kombination av komplexa distribuerade nätverk och ett stort antal anställda och studenter som behöver öppen internetåtkomst skapar en omfattande attackyta att försvara sig med. Ransomware, nätfiske, statligt stödd datastöld och informationsbedrägerier är vanliga. Och ihållande ekonomiska påfrestningar gör det svårt för ITSO:er att prioritera var utgifterna ska fokuseras.

Ändå anser experter att CrowdStrike-incidenten borde vara en katalysator för en bredare diskussion om IT-resiliens som går utöver att förhindra, upptäcka och svara på skadliga cyberincidenter. Enligt Chris Gilmour, CTO för IT-hanterade tjänsteföretaget Axians UK, bör planering för sådana evenemang komma tillsammans med de vanliga cyberhygieniska häftena med patchning, multifaktorautentisering (MFA) och begränsning av nätverksåtkomst.

"Regelbunden testning av katastrofåterställningsplaner och beredskapsplanering för "vänsterfält"-utmaningar är avgörande för att säkerställa att de är effektiva i händelse av en kris, säger han till ISMS.online. "Det är också otroligt viktigt att främja en kultur av säkerhetsmedvetenhet bland personal och studenter som kan hjälpa till att förebygga intrång och mildra deras påverkan."

Trend Micro UK & I tekniska chef Bharat Mistry tillägger att HE affärskontinuitetsplaner bör omfatta IT, kommunikation, dataåtkomst och undervisning.

"Dessa planer bör identifiera kritiska funktioner och system, beskriva tydliga rutiner för att upprätthålla väsentlig verksamhet under störningar och definiera roller och ansvar för räddningsteam, inklusive kommunikationsprotokoll för intressenter", säger han till ISMS.online.

”Täta övningar och simuleringar bör också utföras för att testa affärskontinuitetsplaner och identifiera svagheter. Detta hjälper till att säkerställa att personalen är beredd att reagera effektivt under verkliga incidenter.”

Teknik- och säkerhetsledare inom högskolan bör också överväga den IT-infrastruktur de använder. Mistry rekommenderar molnbaserade lösningar för att säkerställa tillgänglighet, lastbalansering och failover för att upprätthålla tjänsttillgänglighet, samt hybridmolnarkitekturer för att sprida risken över flera miljöer.

"Undvik att lita på en enda leverantör eller system. Att implementera redundanta system och diversifiera kritiska tjänster kan hjälpa till att upprätthålla verksamheten om ett system misslyckas”, tillägger han. "Detta inkluderar att använda flera cybersäkerhetslösningar från olika leverantörer, underhålla offline-säkerhetskopior av kritiska data och system och implementera redundanta nätverksanslutningar och strömförsörjning."

Både Gilmour och Mistry förespråkar också obduktioner efter en incident för att säkerställa att IT-teamen lär sig läxorna om allvarliga säkerhetsintrång och avbrott. Dessa kan hjälpa till att ge "en grundlig analys av incidenter, avslöja grundorsaker och lyfta fram områden för processförbättringar" och främja "en kultur av ansvarsskyldighet och kontinuerligt lärande i hela organisationen", säger Mistry.

ISO 27001 och längre

Frågan är: var ska man börja? ISO 27001 och Cyber ​​Essentials är välkända för många IT- och säkerhetsledare som sätt att förbättra grundläggande cyber- och informationssäkerhet. Men medan den sistnämnda fokuserar på tekniska kontroller för internet-vända system för att minimera cyberrisk, erbjuder ISO 27001 utan tvekan mer som också kan kopplas till affärskontinuitet/katastrofåterställningsplanering.

Detta inkluderar nyckelområden som:

  • Leverantörsriskhantering
  • Incidentrespons
  • Kommunikation med interna och externa intressenter/kunder
  • Programmeringstestning
  • Utbildning för anställda

Genom att använda ISO 27001 som utgångspunkt kan HE-organisationer bygga cyberresiliens och samtidigt lägga grunden för ett mer omfattande tillvägagångssätt för bredare IT-resiliens.

"Genom att anta dessa standarder kan universiteten etablera ett systematiskt tillvägagångssätt för riskhantering, incidenthantering och dataskydd. Dessa ramverk erbjuder en omfattande uppsättning av bästa praxis som kan hjälpa organisationer att identifiera och åtgärda sårbarheter, förbättra deras motståndskraft och följa regulatoriska krav”, säger Gilmour från Axians UK.

"Att anta och implementera processerna och policyerna för dessa standarder innebär att universiteten avsevärt kan förbättra sin cybersäkerhetsställning och skydda sin känsliga data och verksamhet."

Trend Micros Mistry tillägger att många organisationer börjar med Cyber ​​Essentials och sedan bygger vidare på det med den "mer omfattande" ISO 27001-standarden för att ytterligare förbättra säkerheten och motståndskraften.

"Ramar som ISO 27001 och Cyber ​​Essentials spelar avgörande roller för att bygga IT- och cyberresiliens, och erbjuder organisationer en strukturerad väg att förbättra sina säkerhetspraxis", avslutar han. "Genom att utnyttja dessa ramverk kan organisationer systematiskt förbättra sin förmåga att förebygga, upptäcka, reagera på och återhämta sig från cyberincidenter, vilket i slutändan stärker deras övergripande ställning för cyberresiliens."