Kalifornijsko ministarstvo obrazovanja (CDE) obavijestilo je učenike i obitelji o povredi podataka kod jednog od svojih ugovornih izvođača, Educational Testing Service (ETS). Povreda podataka učenika iz Kalifornije u ETS-u podsjetnik je da privatnost školskih dosjea ovisi o svakoj tvrtki koja s njima dolazi u kontakt, a ne samo o samim školama.

CDE distribuira ETS-ovu Obavijest o povredi podataka kako bi osigurao da pogođene osobe dobiju informacije o incidentu i dostupnoj im podršci. Ovo je dosad objavljeno i što obitelji mogu učiniti u vezi s tim.

Što se dogodilo u Educational Testing Service

Prema izvješćima o incidentu, neovlaštena strana iskoristila je kompromitirane podatke za prijavu kako bi pristupila lokaciji za prijenos datoteka koju upravlja ETS, neprofitna organizacija koja provodi testiranje za državu. Izvještavanje pokazuje da je uljez kopirao dosjee učenika između 22. svibnja i 18. rujna. To je razdoblje od otprilike četiri mjeseca u kojem se čini da je jedan ukradeni pristupni podatak ostao koristan.

Taj je detalj važan. Incident nije opisan kao sofisticirani upad u državne vlastite sustave. Uključivao je prijavu i lokaciju za prijenos datoteka koja se koristi za premještanje podataka o testiranju između organizacija. Ukradeni, ponovno korišteni ili nedovoljno zaštićeni pristupni podaci među najčešćim su načinima na koje napadači ulaze u sustave, a dugotrajni pristup može proći nezapaženo bez pomnog nadzora.

Jedan sigurnosni komentator citiran u izvještavanju naveo je broj kompromitiranih dosjea učenika na sedam milijuna i opisao teške poslovne rizike i rizike odgovornosti koje takva povreda stvara za organizacije koje čuvaju podatke učenika. Točne brojke mogu se precizirati kako istraga bude napredovala, stoga rane brojke treba smatrati preliminarnima.

Koji su podaci učenika otkriveni i tko je u opasnosti

Izvješća navode da ukradene informacije uključuju imena, datume rođenja, status invaliditeta i rezultate testova učenika iz Kalifornije. Svaki od njih nosi različite rizike:

  • Imena i datumi rođenja temeljni su elementi za krađu identiteta i za uvjerljive pokušaje lažnog predstavljanja.
  • Status invaliditeta iznimno je osjetljiv. Za razliku od lozinke, ne može se promijeniti, a njegovo otkrivanje može uzrokovati štetu znatno širu od financijske prijevare.
  • Rezultati testova obrazovni su dosjei za koje obitelji opravdano očekuju da ostanu privatni.

Najviše su pogođeni učenici iz Kalifornije čiji su podaci o testiranju prošli kroz ETS-ovu lokaciju za prijenos datoteka, što može uključivati sadašnje učenike, a potencijalno i bivše učenike ovisno o tome koliko su se dugo čuvali dosjei. Mlade su osobe osobito privlačna meta kradljivaca identiteta jer često nemaju kreditnu povijest, pa zlouporaba može ostati neotkrivena godinama.

Ako ste primili obavijest od CDE-a ili ETS-a, shvatite je ozbiljno i pažljivo je pročitajte. Obavijest je najpouzdaniji izvor o tome što se odnosi na vas i koje se usluge nude.

Zašto su obrazovni ugovorni izvođači slaba karika

Škole i državne agencije rijetko same upravljaju svakim sustavom. Testiranje, platforme za učenje i obrada podataka često se prepuštaju vanjskim izvođačima, što znači da se informacije o učenicima kopiraju u sustave kojima upravljaju druge organizacije. Svako predavanje stvara još jedno mjesto na kojem podaci mogu biti otkriveni, a obitelji obično nemaju riječi u tome koji se dobavljači koriste.

Ova povreda slijedi obrazac. Pisali smo o tome kako je druga povreda podataka Canvasa poremetila ispite na Penn Stateu i šire, još jednom slučaju u kojem je tehnološki pružatelj koji opslužuje mnoge institucije postao točka kvara. Kada jedan dobavljač opslužuje milijune učenika, jedna slabost može odjednom utjecati na sve njih.

Tri pitanja vrijedi postaviti svakom obrazovnom dobavljaču:

  1. Koliko se dugo čuvaju podaci? Dosjee koji više nisu potrebni treba izbrisati. Stare datoteke koje stoje na lokaciji za prijenos predstavljaju odgovornost.
  2. Kako je zaštićen pristup? Jedna ukradena prijava ne bi smjela biti dovoljna za pristup milijunima dosjea.
  3. Koliko se brzo otkrivaju anomalije? Pristup koji traje mjesecima upućuje na praznine u nadzoru koje vrijedi ispitati.

Što to znači za vas

Ako ste roditelj, skrbnik ili učenik u Kaliforniji, ne trebate paničariti, ali trebali biste djelovati. Podaci koji su navodno uključeni stabilne su osobne informacije, pa rizik može potrajati dugo nakon što vijest prestane biti aktualna.

VPN ne štiti od ove vrste povrede jer su podaci uzeti s poslužitelja dobavljača, a ne iz vaše veze. Korisnije obrane su one u nastavku.

  • Zamrznite kredit. Zamrzavanje kredita besplatno je i blokira većinu pokušaja otvaranja novih računa na učenikovo ime. Roditelji općenito mogu zatražiti zamrzavanje za maloljetnike; provjerite postupke kreditnih agencija za taj proces.
  • Pazite na krađu identiteta putem lažnih poruka (phishing). Napadači koji znaju učenikovo ime, datum rođenja i školski kontekst mogu napisati vrlo uvjerljive poruke. Budite skeptični prema neočekivanim e-porukama ili tekstualnim porukama o testiranju, stipendijama ili samoj povredi te idite izravno na službene stranice umjesto da klikćete na poveznice.
  • Iskoristite ponuđenu podršku. Ako obavijest uključuje praćenje ili pomoć, prijavite se promptno i sačuvajte kopiju obavijesti.
  • Zaštitite račune. Koristite jedinstvene lozinke i višefaktorsku autentifikaciju na e-pošti i školskim računima, jer je e-pošta često ključ za poništavanje svega ostalog.
  • Vodite evidenciju. Zabilježite datume, obavijesti i svaku sumnjivu aktivnost u slučaju da kasnije budete morali osporiti prijevaru.

Ključni zaključci

Povreda podataka učenika iz Kalifornije u ETS-u pokazuje da je snaga školskih obećanja o privatnosti ograničena njegovim najslabijim dobavljačem. Obitelji to ne mogu same popraviti, ali mogu smanjiti štetu i zalagati se za bolje prakse.

  • Zamrznite kredit za pogođene učenike i odrasle u kućanstvu.
  • Tretirajte neočekivane poruke o testiranju ili povredi kao sumnjive dok se ne potvrde putem službenih kanala.
  • Pitajte svoju školu, okrug i svakog dobavljača koliko se dugo čuvaju podaci učenika i tko im ima pristup.
  • Pratite ažuriranja od CDE-a i ETS-a kako istraga bude napredovala.

Ovo nije prvi put da je obrazovna tehnologija pogođena, a incidenti s Canvasom upućuju na to da neće biti ni posljednji. Biti informiran i postavljati izravna pitanja o čuvanju podataka jedan je od najpraktičnijih koraka koje obitelji mogu poduzeti.