Hochschuleinrichtungen stehen vor einer großen Herausforderung, wenn es um Cybersicherheit geht. Diese Einrichtungen speichern riesige Mengen an Daten, die nicht nur ihre Studenten, sondern auch ihre Dozenten, Ehemaligen, Eltern und Spender betreffen. Wenn in eine Universität eingebrochen wird, enthält ein einziger Studentendatensatz einen umfassenden Überblick über das Leben des Studenten, einschließlich demografischer Daten, akademischer Unterlagen, medizinischer Unterlagen und finanzieller Daten. Die Bedrohung ist real. Anfang 2019 wurde bekannt, dass die Georgia Tech Ziel eines Cyberangriffs auf die persönlichen Daten von bis zu 1,3 Millionen aktuellen und ehemaligen Studierenden, Mitarbeitern und Studieninteressierten war. An dieser Stelle kommt das Sicherheits- und Risikomanagement (SRM) ins Spiel.
Was ist Sicherheitsrisikomanagement?
Laut Gartner: "Das Sicherheits- und Risikomanagement (SRM) der nächsten Generation im Hochschulbereich konzentriert sich zunehmend auf das Vertrauen der Endnutzer und geht damit über die Grundlagen der Ausfallsicherheit und zentralen Kontrolle hinaus. Die zunehmende Personalisierung legt den Schwerpunkt auf die ethische Nutzung von Daten, die die Kontrolle und Zustimmung von Lehrkräften, Mitarbeitern und Studenten erfordert. SRM-Führungskräfte sind die Schlüsselfiguren für diese neue Ebene des personalisierten 'digitalen Geschäfts'". Mit anderen Worten: Es handelt sich um einen fortlaufenden Prozess der Identifizierung von Sicherheitsrisiken und der Implementierung von Plänen zu deren Behebung. Und diese Angriffe haben eben keine digitalen Folgen. Die digitale Gesellschaft ist eine Mischung aus der virtuellen und der physischen Welt. So hat beispielsweise ein Cyberangriff auf ein deutsches Stahlwerk großen Schaden angerichtet, als sich die Angreifer Zugang zur Steuerung des Systems des Werks verschafften und eine Explosion auslösten.
Wie man ein SRM für Hochschulen erstellt
Das Ponemon Institute, ein Forschungsunternehmen für Cybersicherheit, berichtete, dass jeder verlorene oder gestohlene Datensatz Bildungseinrichtungen im vergangenen Jahr durchschnittlich 246 US-Dollar gekostet hat. Und das gilt nicht nur für Studenten, denn Universitäten funktionieren wie eine kleine Stadt, mit Abteilungen für Betrieb, Forschung, Gesundheit, Finanzen und Verkehr.
Eine gute SRM-Strategie konzentriert sich auf die Identifizierung der Bedrohungen mit den größten Auswirkungen. Laut einem Artikel von Educause gibt es drei verschiedene Arten von Bedrohungen/Risikokategorien: Hoch, moderat und niedrig.
Wo fangen Sie also an, um einen Plan zu erstellen? Betrachten Sie Sicherheit zunächst als Teamsport. Gartner empfiehlt Folgendes: "Implementieren Sie breit abgestützte und effektive Sicherheitsrichtlinien und -praktiken in Ihrer Einrichtung, indem Sie eine umfassende Planungs- und Steuerungsgruppe einrichten. Sie sollte sich aus einer Vielzahl von Interessengruppen zusammensetzen, darunter Studenten, Dozenten, Finanz-, Rechts- und Personalabteilung, die Programme zur Risikominderung, zum Aufbau von Vertrauen, zum Schutz der Privatsphäre von Studenten und zur ethischen Nutzung von Daten in Betracht ziehen."
Gartner empfiehlt dann: "Identifizieren Sie objektiv die Stärken und Lücken Ihrer aktuellen Sicherheitspläne, indem Sie verschiedene Frameworks (wie National Institute of Standards and Technology, International Organization for Standardization/International Electrotechnical Commission 27001/27002, COBIT und ITIL) oder Drittanbieter zur Bewertung des aktuellen Zustands Ihres Programms nutzen."
Drittens müssen Sie in Cybersicherheitsschulungen für Studierende, Lehrkräfte und Mitarbeiter investieren. Unabhängig davon, wie stabil und sicher Ihr Netzwerk und Ihre Infrastruktur sind, gibt es immer etwas zu beachten - den menschlichen Faktor. Das beste Beispiel dafür ist Phishing oder sein raffinierteres Gegenstück, Spear-Phishing. Spear-Phisher geben sich oft als vertrauenswürdige Quellen oder Einrichtungen aus und bitten um eine einfache Aufgabe, wie die Bezahlung einer Rechnung oder die Beantwortung einer E-Mail.
Gartner empfiehlt weiterhin, "Sicherheits- und Datenschutzrichtlinien einzuführen, die es Lehrkräften, Mitarbeitern und Studenten ermöglichen, zu kontrollieren, welche personenbezogenen Daten erfasst werden und auf welcher rechtlichen Grundlage die Verarbeitung erfolgt.
Schließlich müssen Sie die derzeitigen Praktiken und Methoden zur Erfassung und Speicherung institutioneller Daten bewerten.
Zwänge
Wie in allen Bereichen der Hochschulbildung gibt es auch beim Sicherheits- und Risikomanagement zwangsläufig Einschränkungen. Von begrenzten finanziellen Mitteln über Vorschriften und Gesetze bis hin zur Suche nach den richtigen Talenten und der Verwaltung. Bei der Umsetzung eines Plans für das Sicherheitsrisikomanagement sind viele Faktoren zu berücksichtigen. Wenn diese Faktoren jedoch nicht berücksichtigt und angegangen werden, werden Cyberangriffe auf Universitäten immer häufiger und schädlicher. Die Bewältigung dieser Herausforderung erfordert eine strategische Planung und ein Denken im Bereich der Cybersicherheit.
Eine Lösung ist die Einführung eines BPM-Systems zur Abwicklung von Arbeitsabläufen und internen Prozessen. Vergewissern Sie sich, dass Ihr BPM-Softwareanbieter auch die Sicherheit im Blick hat. Er sollte klare Pläne für die Datenverschlüsselung, die Benutzerauthentifizierung, die Anwendungssicherheit, die Sicherheit der internen Systeme, die Sicherheit des Betriebssystems, die Datenbanksicherheit, die Sicherheit des Servermanagements, die Zuverlässigkeit und Datensicherung sowie die Notfallwiederherstellung haben. Vergewissern Sie sich außerdem, dass Ihre BPM-Lösung über erfahrene, professionelle Ingenieure und Sicherheitsspezialisten verfügt, die sich um den Schutz von Daten und Systemen kümmern.
