Информационная безопасность в образовании
Шарапов Николай Николаевич
Введение
На современном этапе развития информационных технологий сеть Интернет уже полностью интегрирована в повседневную жизнь и деятельность любого человека. Она даёт безграничные возможности при работе со сбором, обработкой и применением информации. Всё, от сферы услуг и развлечений до высокоточных научных вычислений, использует возможности Интернет себе на пользу. Не могло обойти это явление и сферу образования: бухгалтерия, закупки, электронные журналы, сайт школы, курсы повышения квалификации, дистанционное обучение, связь с родителями, тесты, опросы и много другое, для чего Интернет сейчас активно используется в системе образования.
К сожалению, у этого столь полезного комплексного инструмента есть и обратная сторона – постоянные угрозы утечки или модификации информации, будь то случайные или преднамеренные. Потеря важных документов при выходе из строя компьютера, утечка личной информации в сеть, заражение компьютерными вирусами, вот далеко не полный перечень угроз, которые несёт повсеместная цифровизация образования. Кроме того, основная задача школы — это подготовка ребёнка к будущей жизни, которая теперь неразрывно связана с Интернетом. Любой из современных детей с раннего детства контактирует со смартфоном, компьютером. Многие обучены прикладным основам работы с этими устройствами задолго до появления уроков информатики в школе. Некоторые проводят в интернете так много времени, что там же происходит их социализация. Многие школьники превосходят навыками работы с современными информационными технологиями некоторых учителей, что не может не повлиять на статус и уважение к учителю, а значит, и на его способность к обучению. Ведь процесс познания по своей природе тяжёл и требует напряжения, усилий. А каким образом можно добиться системных усилий от класса без уважения к учителю? Без двухстороннего уважения обучение невозможно. Поэтому крайне важно, чтобы преподаватели всех дисциплин, независимо от возраста, помимо знаний своего предмета имели представление о той среде, в которой живут их ученики: дом, улица, школа, Интернет. А кроме умения работать в сети Интернет педагог должен быть осведомлён обо всех возможных угрозах этой сети и, главное, о методах защиты от них. И таких угроз великое множество.
Педагоги должны быть осведомлены об активном распространении наркотических и психотропных средств в мессенджерах и о том, насколько просто сейчас осуществить покупку таких веществ в Интернете. О том, что в распространении наркотиков задействовано огромное количество школьников, потому что это приносит ощутимые деньги. Например, проходя по улицам города, образованный и культурный педагог не читает надписи на заборах, игнорируя их существование. Но, вчитавшись в текст, можно удивиться завуалированному предложению подросткам о «работе» - стать распространителем наркотиков за 100.000-150.000 рублей в месяц. И такие предложения есть в каждом городе.
Девочкам-подросткам часто приходят предложения о работе вэбкам-моделью, т.е. снимать материалы эротического/порнографического содержания у себя дома и предоставлять к нему доступ за материальное вознаграждение, которое может превышать сумму заработных плат их родителей. Другим развитием данного направления является банальный шантаж девушки, отославшей компрометирующие её материалы, угрозой раскрыть их перед родителями, друзьями. Целью является вымогательство материальных средств из семьи. Исходом таких явлений могут стать нервные расстройства и доведение до самоубийства.
Сами же подростки, перенеся львиную долю своего общения в социальные сети, туда же перенесли и травлю непонравившихся им сверстников. Если раньше травля подростка могла производиться только во время учёбы или прогулки, а дома он был в безопасности, то теперь дорогостоящее устройство, подаренное родителями, является инструментом для круглосуточных и повсеместных издевательств.
Свобода распространения информации создала благодатную почву для множества деструктивных сект, нацизма, фашизма, распространения экстремистских материалов, вовлечения в террористические ячейки, привлечения подростков в политическую борьбу, лоббирования частных интересов различных сообществ и даже обычного мошенничества – всё это с нетерпением ждёт неокрепших психически и морально детей и подростков в Интернете. Но т.к. Интернет уже является неотъемлемой частью жизни общества и тотальное ограничение доступа к сети невозможно, то подростков должны обучать Интернет-гигиене. Основы информационной безопасности должны стать неотъемлемой частью системы образования и пронизывать любую деятельность детей в сети. Именно в школе должны формироваться навыки безопасной работы с сетью, должны обсуждаться и выявляться опасности до наступления печальных последствий. Совместные действия квалифицированных педагогов, классных руководителей, психологов и родителей должны быть направлены на обеспечение Информационной безопасности подростков в том числе вне стен школы.
1. Явление информационной безопасности
Информационная безопасность – это защищенность информации и поддерживающей ее инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, которые могут нанести ущерб владельцам или пользователям информации.
Защищаемая информация - это информация, являющаяся предметом собственности и подлежащая защите в соответствии с требованиями правовых документов или требованиями, устанавливаемыми собственником информации.
Защита информации – это деятельность, направленная на предотвращение утечки защищаемой информации, несанкционированных и непреднамеренных воздействий на защищаемую информацию.
Целью защиты информации может быть предотвращение ущерба собственнику, владельцу, пользователю информации в результате возможной утечки информации и (или) несанкционированного и непреднамеренного воздействия на информацию.
Информационная безопасность обеспечивает конфиденциальность, целостность и доступность информации.
Защитой информации занимаются:
На законодательно-правовом уровне:
- Комитет Государственной думы по безопасности;
- Совет безопасности России;
- Федеральная служба по техническому и экспортному контролю;
- Федеральная служба безопасности Российской Федерации;
- Федеральная служба охраны Российской Федерации;
- Служба внешней разведки Российской Федерации;
- Министерство обороны Российской Федерации;
- Министерство внутренних дел Российской Федерации;
- Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).
На Организационном (административном) уровне
- Служба экономической безопасности;
- Служба безопасности персонала (Режимный отдел);
- Кадровая служба;
- Служба информационной безопасности.
Непосредственно в школе за информационную безопасность отвечает директор, делегируя полномочия со своими заместителями, начальником отдела кадров, главным бухгалтером, начальником службы охраны и системным администратором. Личная ответственность за использование служебной информации лежит на всех сотрудниках школы.
2 Прикладные технические рекомендации по информационной безопасности
2.1 Содержание операционной системы и установленных программ в актуальном состоянии
Современное программное обеспечение настолько сложно, что может разрабатываться группой специалистов до нескольких сотен человек в течение многих месяцев или даже лет. Выявление и исправление ошибок в коде программы является не исключением, а обязательной составляющей цикла жизни программы. Конечно, в «Идеальном» мире, хорошо бы обнаруживать все ошибки кода на этапах внутреннего тестирования (альфа-тестирования) и тестирования сообществом пользователей (бета-тестирования), ещё до официального выхода программы. Было бы здорово, чтобы релизная (выпускаемая) версия продукта не содержала никаких ошибок, но в реальном мире такая задача практически не выполнима, и ошибки в работе комплексной программы находят даже годы спустя релиза. Поэтому разработчики занимаются поддержкой программы в течение заранее оговоренного срока. В случае нахождения очередной ошибки кода разработчики оперативно выпускают обновление для её устранения.
Порой, ошибки кода могут привести не только к остановке выполнения программы (зависанию), но и к появлению возможности перехвата управления над программой или целым устройством. Такую ошибку называют уязвимостью (эксплоит). На чёрном рынке злоумышленники готовы отдать десятки, а в некоторых случаях сотни тысяч долларов за возможность беспрепятственно проникнуть на устройства пользователей. Поэтому крайне важно содержать всё программное обеспечение в актуальном состоянии, т.е. устанавливать все выходящие обновления.
Пример: самый поразительный пример использования уязвимостей в коде – это сетевой червь stuxnet, предположительно разработанный спецслужбами США и Израиля. Используя уязвимости операционной системы Windows, вирус поражал промышленные контроллеры на производстве по обогащению урана. Немного меняя условия штатного режима работы оборудования, вирус медленно выводил его из строя, тем самым надолго задержал развитие Иранской атомной промышленности и нанёс ощутимый материальный ущерб.
В школе всё программное обеспечение должно систематически обновляться, независимо от наличия или отсутствия Интернета в конкретном кабинете.
2.2 Использование антивируса
Антивирус – это программное обеспечение, целью которого является раннее выявление вредоносного кода (вируса) и устранение последствий его деятельности. Суть работы антивируса сводится к двум составляющим:
- проактивная защита;
- реактивная защита.
Проактивная защита выявляет угрозы ещё до их внедрения в систему. Она позволяет вообще не получать ущерб от вредоносного кода. Но у такой защиты есть серьёзный недостаток – ложные срабатывания. Многие полезные прикладные программы могут по своему действию напоминать вирусы, но ими не являться. Проактивная защита поместит такую программу в изолированную область памяти (карантин) или вообще удалит, тем самым нарушит работу полезной программы.
Реактивная защита позволяет обнаруживать вредоносный код уже на этапе, когда заражение произошло и вирус уже начал свою разрушительную деятельность. Такую угрозу обнаружить легче, но гораздо сложнее устранить полученный ущерб.
Обе защиты работают в комплексе и похожи по принципу действия на вакцину и антидот. Первая готовит организм к возможному заражению, а второй позволяет нейтрализовать (уменьшить) последствия заражения.
К сожалению, как и биологические вирусы склонны к постоянным мутациям, так и компьютерные вирусы постоянно совершенствуются, используя всё новые методы обхода защиты и внедрения в систему. Важно, при появлении нового, ранее никем не обнаруженного вредоносного кода, отправить его образец на изучение к разработчикам антивирусных программ. Там выясняют принцип действия и характерные признаки (сигнатуры), по которым можно будет легко обнаруживать подобный вирус в будущем. Такие сигнатуры поступают на устройства пользователей в виде обновлений антивируса, поддерживая защиту в актуальном состоянии.
Поэтому крайне важно, чтобы на устройстве была установлена профессиональная антивирусная программа, которая должна обновляться ежедневно, чтобы оперативно реагировать на появление новых видов вирусов.
Пример: вирус-шифровальщик WannaCry шифровал большинство файлов на устройстве пользователя и вымогал деньги за возможность их расшифровать. Ставка была сделана на то, что стоимость зашифрованных данных превысит стоимость выкупа.
В школе все компьютеры администрации, бухгалтерии, отдела кадров и локальный сервер должны иметь постоянно обновляемые профессиональные антивирусные пакеты. Остальные компьютеры, из-за высокой итоговой стоимости антивирусов, обеспечиваются защитой на сервере школы.
2.3 Использование интернет-фильтрации и аудит трафика
Часто угрозой для становления личности подростков является сама информация, это могут быть сведения экстремистского, террористического, преступного, порнографического содержания, активная пропаганда девиантного поведения или оправдание подобных действий. Через интернет сейчас проходит львиная доля наркотрафика. А также развлечения, которые предоставляет сеть Интернет, могут отвлекать от здорового развития, получения образования и выполнения служебных обязанностей. Таким образом, анализировать интернет-трафик и вовремя блокировать нежелательные ресурсы - обязанность системного администратора сети. Для этих целей применяются множество инструментов:
- сетевой экран/брандмауэр/файрвол;
- групповые политики безопасности сервера;
- альтернативный DNS-сервер для контент-фильтрации;
- функция родительского контроля;
- специализированный браузер с контент-фильтром;
- маршрутизатор Wi-Fi с функциями брандмауэра;
- сим-карта для детского смартфона с функцией родительского контроля.
Для школы важно (и с точки зрения законодательства тоже), чтобы весь контент, к которому может получить доступ ученик, проходил обязательную фильтрацию и, крайне важно, исключить возможность обхода этой фильтрации: - запретить использование VPN, анонимайзеров, Proxy-серверов и сети TOR, отключить доступ к мессенджерам, поддерживающим сквозное шифрование. Кроме того, администратор сети должен иметь инструменты для анализа подозрительного интернет-трафика на сервере школы. Должно осуществляться журналирование (аудит) всего входящего и исходящего трафика, а также последующее хранение журналов для возможного анализа.
2.4 Использование криптостойких паролей
Криптостойкий пароль – это кодовое слово, подбор которого является настолько вычислительно сложной задачей, что займет больше времени, чем будет актуальна защищаемая информация. Либо стоимость взлома ощутимо превысит стоимость защищаемой информации.
Для подбора пароля злоумышленником может быть использована программа для полного перебора (брутфорс). Она работает в двух режимах:
- перебор по словарю (радужные таблицы);
- полный перебор.
В первом случае в качестве пароля подставляется набор самых популярных в мире (России) паролей или набор личных данных атакуемого пользователя, взятых из открытых источников, например: 123456, 12345, Nikolay86 и т.д. Если пользователь использует подобный пароль, то время, затраченное на подбор пароля, будет исчисляться секундами. Но если на этом этапе пароль не будет подобран, то брутфорс переключится в режим непосредственного полного перебора, т.е. будет подставлять в качестве пароля все возможные комбинации букв, цифр и символов. Такой перебор, в зависимости от длины и сложности пароля, может длиться от нескольких часов до нескольких миллиардов лет.
Таким образом, рекомендуется использовать пароли большей длины, они должны содержать буквы в верхнем и нижнем регистре, цифры и другие специальные символы, например, 5tR3V012An$$Lu48. Важно, чтобы кодовое слово не содержало личной информации: Ф.И.О., дата рождения, номер школы и т.д.
2.5 Использование двухфакторной аутентификации
Аутентификация – это процесс подтверждения личности пользователя. Существует три метода аутентификации:
- пользователь должен что-то знать, например, пароль или ответ на контрольный вопрос;
- пользователь должен что-то иметь, например, идентификационную карту, электронный ключ, т.е. некий физический объект, который принадлежит только проверяемому пользователю;
- пользователь должен кем-то быть, т.е. должен предоставить свои биометрические данные.
Двухфакторная аутентификации – это обязательное использование сразу двух методов аутентификации, что позволяет резко понизить шанс того, что к системе получит доступ незарегистрированный пользователь.
Пример: на многих смартфонах установлена возможность разблокировки не только при помощи графического ключа (пароля), но и при помощи камеры (faceID) или сканера отпечатка пальца. Кроме того, учётные записи многих социальных сетей требуют установить привязку к телефону, т.е. к физическому устройству, которое принадлежит проверяемому пользователю. Для входа на данный сервис требуется подтверждение от устройства.
Важно отметить, что применение многофакторной аутентификации сильно уменьшает вероятность предоставления доступа неавторизированному пользователю (т.е. тому, кто не имеет прав на доступ).
В школе все компьютеры администрации и официальные учётные записи школы должны быть настроены на двухфакторную аутентификацию без исключения.
2.6 Резервное копирование важной информации
Любой носитель информации подвершен старению, а также не застрахован от случайных сбоев или полного выхода из строя. Перепады напряжения питания или ошибка в работе пользователя могут привести к утере критически важной информации. Подобное редкое событие может нанести ощутимый материальный урон образовательной организации. Например, могут быть безвозвратно утеряны финансовые документы перед отчётным периодом, информация о прочитанных часах по предметам, больничных, отпусках и т.д. Чаще всего на компьютере секретаря организации находится огромный архив документов за десятки лет деятельности, а в случае сбоя одного такого компьютера может появиться существенный простой в работе администрации, не говоря уже о стрессе ответственных сотрудников. Решением данной проблемы является создание системы резервного копирования данных. Суть работы системы заключается в ежедневном автоматическом копировании и архивировании важных документов на удалённом сервере. Реализация возможна как с материальными расходами, так и без них. Например, можно выделить один компьютер с бесплатной операционной системой Linux и настроить резервное копирование данных из локальной сети организации на него. Другим вариантом является копирование важной информации в облачные хранилища, такие как Google Drive, iCloud, Dropbox или Яндекс Диск. У большинства подобных сервисов есть небольшой объем памяти, который можно использовать безвозмездно. Правда, остаётся вопрос безопасности передачи финансовой документации третьим лицам. Поэтому использование собственного выделенного сервера под систему резервного копирования имеет больше преимуществ.
2.7 Использование источников бесперебойного питания
Источник бесперебойного питания (UPS) – это устройство, сочетающее в себе стабилизатор напряжения и аккумуляторную батарею высокой ёмкости, которое защищает подключенные к ней устройства от перепадов напряжения питания. Позволяет продлить срок службы подключенного компьютера и защитить данные от порчи в случае скачков напряжения.
В школе все компьютеры администрации, а также дорогостоящее сетевое и демонстрационное оборудование должны быть подключены к электрической сети через источники бесперебойного питания.
3 Социальный фактор информационной безопасности
3.1 Проведение организационных мероприятий, повышающих информационную безопасность
Самая главная уязвимость любой информационной системы всегда находится между монитором и стулом. Какой бы ни была совершенной защита информации с технической точки зрения, всегда будет иметь место профессиональная некомпетентность, банальная глупость или преступный умысел пользователя. Именно человек является самым уязвимым звеном любой системы защиты информации. Поэтому, кроме технических мероприятий, направленных на обеспечение информационной безопасности, необходимо обязательно проводить ряд организационных:
- постоянное обучение сотрудников основам информационной безопасности, как личной, так и на рабочем месте (инструктажи, тренинги);
- повышение квалификации технических сотрудников, осуществляющих обслуживание (администрирование) локальной сети (курсы);
- установление правил по работе со служебной информацией и персональными данными учеников (инструкции, локальные акты);
- установление ответственности за нарушение этих правил (трудовой договор);
- проведение регулярных проверок для выявления нарушений установленных правил по работе со служебной информацией (эти обязанности возлагаются на системного администратора);
- постоянное ведение контроля за защищаемой информацией путём журналирования (аудита);
- введение в план воспитательных мероприятий для учеников часа знаний по информационной безопасности (классный час);
- проведение на высоком уровне соответствующих уроков по дисциплинам: информатика и ОБЖ (посещение занятий администрацией);
- ведение бесед с родителями учеников о возможных опасностях сети Интернет и инструментах защиты от них;
- приглашать для проведения информирования учеников специалистов из Роскомнадзора и отдела «К» полиции, при появлении такой возможности.
3.2 Раннее выявление и диагностика маркеров девиантного поведения учащихся в сети Интернет
Крайне важно, знать круг общения ученика и сферу его интересов, быть в курсе, на какие сообщества и каналы он подписан. И хотя невозможно полностью контролировать всю деятельность подростка в сети, при регулярном мониторинге можно заранее определить появление опасных для его развития факторов по маркерам девиантного поведения. Существует множество признаков (маркеров), которые при отдельном рассмотрении могут ничего не значить, но при рассмотрении в контексте и при множественном выявлении могут указывать на будущее асоциальное и деструктивное поведение. Маркерами выступают определённые подписки на сообщества, комментарии, «лайки» и репосты.
Вследствие постоянного нахождения в социальных сетях, обстановки недосягаемости и повсеместно поддерживаемого мифа об анонимности в сети, подростки могут выплёскивать накопившиеся за день эмоции в виртуальное пространство.
Одни подростки могут быть склонны к гневу в компьютерных играх и социальных сетях. Начиная от ненормативной лексики при общении и розыгрышей (т.н. троллинг), до таких крайних проявлений агрессий как кибербуллинг (сетевая травля) и скулшутинг (школьная стрельба). Среди агрессивных подростков пользуются популярностью «околофутбольные» сообщества и группы воровской тематики «А.У.Е.». Также в группу риска входит молодёжь, интересующаяся анархической, националистической и откровенно фашистской тематикой. Маркерами являются арестантский жаргон, следование воровским понятиям, цитаты личностей, причастных к преступлениям против человечности, изучение экстремистской литературы.
Нехватка внимания и общения у другой группы риска может быть компенсирована социальными сетями. Но кроме безобидных бесед возможны и такие явления, как флирт и «вирт». Интерес к противоположному полу, атмосфера таинственности и безопасности (ведь общение происходит прямо из дома или школы) позволяют реализовывать потаённые желания, которые в обычных условиях должны были бы дремать ещё несколько лет, оставляя ресурсы на учёбу и развитие. В современных реалиях подростки в возрасте 14 лет уже могут заниматься виртуальным сексом («вирт»), обмениваясь недвусмысленными сообщениями и фотографиями с собеседниками. Причём возраст и пол собеседников может быть самым разным.
Подростки, склонные к суициду, проходят долгий и сложный путь от случайных аутодеструктивных мыслей до формирования стойкого желания
и планирования реальных действий. В течение всего этого времени в сети остаётся след из случайных намёков или даже прямых заявлений о своих намерениях, которые обычно, к сожалению, остаются без должного внимания.
Список иного возможного девиантного поведения гораздо шире, а перечень маркеров подобного поведения может составить отдельную исследовательскую работу, но в рамках текущей статьи следует ограничиться выводом – знание об актуальных деструктивных сектах, группах и сообществах должны быть на высоком уровне не только у школьного психолога, но и у классных руководителей и рядовых педагогов, задача которых вовремя среагировать и сообщить о назревающей опасности здоровому развитию подростка администрации, психологу и родителям.
Заключение
Интернет – это четвертая среда, в которой взаимодействуют подростки наравне с домом, школой и улицей. Только сейчас она абсолютно бесконтрольна, а её опасность сильно недооценена. Родители гордятся возможностью подарить ребёнку дорогой «гаджет», а администрация школы торжественно объявляет о вводе в эксплуатацию нового компьютерного класса, но при этом мало кто в полной мере понимает, какой вред может нанести бесконтрольная информация, полученная через такие устройства. Сводки новостей пестрят заголовками о подростковом суициде, кибербуллинге и сексуальных домогательствах к несовершеннолетним. Виновниками обычно выставляют компьютерные игры и Интернет, а никак не тех людей, которые должны были позаботиться о безопасности среды, в которой подросток проводит большую часть дня – учителей информатики и ОБЖ, классных руководителей, системного администратора сети, администрацию школы и, конечно, родителей. Гораздо легче обвинить безликий Интернет, чем признаться в собственной профессиональной или родительской некомпетенции. Именно для того, чтобы бороться не с печальными последствиями, а предотвращать их наступление, и должны постоянно проводиться описанные в статье технические и организационные мероприятия. Создать для детей безопасную четвёртую среду – Интернет, привить детям правила интернет-гигиены, возможно только при тесном взаимодействии родителей и школы, при наличии должной осведомлённости и технической компетентности всех участников такого взаимодействия.
