Защита информации и информационная безопасность в образовательных учреждениях Текст научной статьи по специальности «Компьютерные и информационные науки»

ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ

Научная статья УДК 004.056.5

Защита информации и информационная безопасность в образовательных учреждениях

Рафаэль Амирович Сайфутдинов1 Дарья Юрьевна Белогрудова2 Рустам Ринатович Иматдинов Руслан Ринатович Иматдинов4

1,2,3,4Ульяновский государственный педагогический университет имени И. Н. Ульянова, Ульяновск, Россия

Аннотация. Рассмотрены проблемы информационной безопасности в образовательных учреждениях, выделены объекты, подверженные воздействию, и угрозы информационной безопасности, проанализированы причины кибератак, а также предложены правила информационной гигиены и мероприятия по повышению уровня информационной безопасности образовательного учреждения. Ключевые слова: защита информации, образовательные учреждения, информационная безопасность, кибератаки, цифровая гигиена.

INFORMATION TECHNOLOGY Scientific article

Information protection and information security in educational institutions

Rafael A. Sayfutdinov1 Daria Yu. Belogrudova2 Rustam R. Imatdinov3 Ruslan R. Imatdinov4

1,2,3,4 Ulyanovsk State Pedagogical University named after I. N. Ulyanov, Ulyanovsk, Russia

Abstract. The problems of information security in educational institutions are considered, the objects affected and threats to information security are identified, the causes of cyber attacks are analyzed, and the rules of information hygiene and measures to improve the level of information security of an educational institution are proposed.

Keywords, information protection, educational institutions, information security, cyber attacks, digital hygiene.

На сегодняшний день одной из актуальных проблем в современном обществе является защита информации. В образовательных учреждениях защищены три категории данных на законодательном уровне:

• персональные данные учащихся и преподавателей, а также цифровые архивы;

• интеллектуальная собственность;

© Сайфутдинов Р. А., Белогрудова Д. Ю., Иматдинов Р. Р., Иматдинов Р. Р., 2022

• информация, обеспечивающая образовательный процесс, включая программные обеспечения.

Вышеуказанные данные могут быть не только похищены, а также испорчены или вовсе уничтожены с помощью проникновения в сервер данных учебного заведения или непосредственно в цифровые носители. Выделяются четыре группы объектов в образовательных учреждениях, которые могут подвергнуться намеренному или ненамеренному воздействию. Данные группы представлены в таблице 1.

Таблица 1

Группы объектов, подверженные воздействию в образовательных учреждениях [2]

№ Группа объектов Источник воздействия

1 Компьютерная техника и другие аппаратные средства Механическое воздействие; вирусы

2 Программы, обеспечивающие образовательный процесс; программы, обеспечивающие работоспособность системы Вирусы; хакерские атаки

3 Данные на жёстких дисках; данные на отдельных носителях Сотрудники, отвечающие за работоспособность 1Т-систем

4 Студенты, школьники Психологическая атака на сознание детей; незаконная пропаганда

Таблица 2

Классификация уязвимостей [5]

№ Класс уязвимости Характеристика

1 Объективные Зависит от технических характеристик оборудования, требуемого уровня защиты к нему. Возможно лишь частичное устранение факторов угрозы

2 Субъективные Является результатом неправильных действий сотрудников ещё на уровне разработки систем хранения и защиты информации. Устранение возможно с помощью методик с использованием аппаратуры и программного обеспечения

3 Случайные Зависит от непредвиденных обстоятельств, а также от окружающих факторов информационной среды. Невозможно предугадать их возникновение. Устранение возможно с помощью проведения инженерно-технического разбирательства и ответного удара. Реагирование на проявление данного класса угроз должно быть немедленным

Важно отметить, что данные группы объектов, подверженные воздействию, уязвимы по-разному, поэтому выделяют классификацию уязвимостей, представленную в таблице 2.

Исследования доказали, что в системах данные регулярно подвергаются разным реакциям на всех стадиях цикла обработки и хранения информации, а также во время функционирования системы.

Чаще всего источники угрозы запускаются с целью получения незаконной выгоды вследствие нанесения ущерба информации. Важно понимать, что возможно и случайное действие угроз из-за недостаточной степени защиты и массового действия угрожающего фактора, так как все программы разрабатываются специалистами. Таким образом, нельзя устранять человеческий фактор и ошибки. Рабочие станции, маршрутизаторы, серверы построены на работе людей. Чем выше сложность программы, тем больше возможность раскрытия в ней ошибок и обнаружения уязвимостей, которые приводят к угрозам информационной безопасности (ИБ). Так, угрозы информационной безопасности делят на случайные и преднамеренные.

Важно отметить, что угрозыимеют не одну классификацию. Также выделяют ещё пять классификаций, которые зависят от различных параметров. Классификация угроз ИБ представлена в таблице 3.

Важно отметить, что в образовательных учреждениях вопрос информационной безопасности необходимо рассматривать должным образом, так как школьники и студенты наиболее уязвимы социальной пропагандой. Поэтому, наряду с защитой персональных данных, образовательное учреждение должно гарантировать защиту информационных данных учащихся от незаконной пропаганды, которая в свою очередь способна повлиять на сознание подростка.

Данная проблема получила весомую актуальность с развитием применения дистанционных технологий в образовании. Дистанционная форма обучения имеет возможность создания систем массового непрерывного самообучения, всеобщего обмена информацией, независимо от временных и пространственных рамок, с помощью применения персонального компьютера и выхода в сеть «Интернет». Таким образом, доступ к

Таблица 3

Классификация угроз [5]

№ Название Классификация угроз ИБ

1 Состояние источника угрозы - источник в самой системе (сбой при реализации ресурсов автоматизированной информационной системы и ошибки в её работе); - источник в пределах видимости автоматизированной информационной системы (похищение информации через подслушивающую аппаратуру, с бумажных носителей или кража записей с носителей); - мошенничество вне автоматизированной информационной системы (кража информации во время прохождения по путям связи, побочно с акустических или электромагнитных излучений устройств)

2 Степень влияния - активная угроза безопасности (вносит изменения в структуру системы и её сущность); - пассивная угроза безопасности (кража информации способом копирования, реже скрытая)

3 Доступ сотрудников к системе программ или ресурсов - несанкционированное вредоносное влияние; - вредоносное влияние после согласия доступа к ресурсам системы

4 Способ доступа к основным ресурсам системы - применение нестандартного канала пути к ресурсам (несанкционированное использование возможностей операционной системы); - применение стандартного канала пути к ресурсам

5 Размещение информации в системе - угрозы, располагающиеся на внешних устройствах памяти (несанкционированное копирование информации); - угрозы получения доступа к данным; - несанкционированное проникновение в каналы связи и подключение к ним (получение конфиденциальной информации); - угроза подключения к системной области со стороны прикладных программ и считывание информации

ресурсам дистанционного образования источников информации противозаконного и травмирующего характера, а также различного вида пропаганды должен быть предотвращён.Так, для обеспечения защиты информации в учебном заведении необходимо создание системы обеспечения информационной безопасности, а также поддержание этой системы на должном уровне.

В первую очередь необходимо провести аудит информационной безопасности, который позволяет оценить уровень информационной защищённости организации. В процессе аудита важно проанализировать существующие нарушения, произошедшие инциденты в данной сфере, а также оценить риски возможных угроз. В случае, когда оснащённость учебного заведения в сфере информационной безопасности находится на низком уровне, необходимо привлечение стороннего аудитора [1].

Исходя из результатов аудита, внедряются различные технические средства и проводятся мероприятия для повышения уровня информационной безопасности. К таким мероприятиям следует отнести:

1. Повышение уровня знаний в вопросах защиты информации с помощью современных программ и технологий.

Данный этап направлен на своевременное обучение и переподготовку персонала, контроль знаний и навыков в вопросах защиты информации.

2. Внедрение специализированных программ для выявления и борьбы с различными видами угроз безопасности.

К таким программам можно отнести DLP-системы и SIEM-системы. С помощью этих инструментов учебное заведение сможет обеспечить комплексную защиту данных от преднамеренного вмешательства.

3. Применение физических мер.

Мероприятия по проверке физических лиц на

предмет наличия запрещённых предметов (проверка данных на ^В-накопителях; система видеонаблюдения, резервное копирование информации, ограничение доступа к отдельной группе документов).

4. Внедрение политики информационной безопасности.

Таблица 4

Причины кибератак [4]

№ Причина Характеристика

1 Человеческий фактор Ошибка пользователя, несмотря на осведомлённость о кибератаках: - переход по подозрительным ссылкам; - раскрытие доступа к конфиденциальным документам

2 Непроверенные устройства Использование в образовательном учреждении непроверенных устройств (принесённых учителями и/или учащимися). К примеру: ноутбук, ^В-устройство, планшеты, смартфоны и т. д.

3 Сторонние программы и файлы с общим доступом Их использование даёт возможность применение программ-вымогателей. Эти программы проникают в качестве обновления программного обеспечения

4 Применение устаревших технологий Киберпреступники могут легко проникнуть и заразить устаревшие программы

5 Неприменение технологии резервного копирования файлов Отсутствие резервного копирование приведёт к невозможности восстановления файлов в случае кибератак

Включает в себя ряд правил, методических пособий и инструкций, которые регламентируют работу с данными.

5. Постоянный мониторинг работы существующих средств защиты и их усовершенствование и др. [3].

Важно отметить, что вышеперечисленные мероприятия и технические средства должны применяться в комплексе, а также необходимо привлечение группы лиц (лицо), которые будут ответственными за внедрение и работу системы обеспечения информационной безопасности в учебном заведении.

В образовательном учреждении существуют ещё две ключевые проблемы, связанные с ки-бербезопасностью и информационной гигиеной. Именно эти два фактора позволяют чувствовать себя защищёнными в информационной среде. При их отсутствии информационная среда не сможет работать результативно, а следовательно, также не сможет поддерживать эффективное обучение с применением информационных технологий.

На сегодняшний день число кибератак на учебные заведения выросло. Это связано с вынужденным переходом на систему дистанционного обучения в пандемию, тем самым значительно выросла потенциальная зона кибератак: увеличились возможности проникновения в компьютерные сети, к примеру, с помощью фи-шинг-ссылок.

Кибератаки, особенно с применением методов социальной инженерии, представляют реальную опасность для обучающихся. В такой

атаке у киберпреступника появляется возможность доступа к конфиденциальной и персональной информации. Также существует риск проявления манипуляций, что может быть ударом на несформированную психику ребенка.

Основные причины кибератак в учебных заведениях представлены в таблице 4.

Для предотвращения негативных действий киберпреступников учащимся, их родителям и преподавателям необходимо соблюдать следующие правила цифровой гигиены:

• Убедиться в защищённости устройств антивирусными системами;

• Создание брандмауэров и интернет-шлюзов для защиты сетей от кибератак;

• Проверка платформ и сайтов (поставщиков контента);

• Мониторинг работы всех систем и анализ на предмет нехарактерной активности;

• Использование резервного копирования;

• Внедрение новейших и обновлённых технологий;

• Использование программ из проверенных источников;

• Отслеживание каждого устройства, которое входит в сеть образовательного учреждения;

• Подготовка учителей и учащихся по вопросам кибербезопасности;

• Организация безопасной системы входа в образовательную сеть;

• Открывать ссылки только из надёжных источников;

• Использование надёжных паролей;

• Не передавать конфиденциальную информацию онлайн.

Таким образом, уровень информационной безопасности в образовательном учреждении будет поддерживаться на надлежащем уровне, что в условиях интеграции российского образовательного сообщества в информационную среду крайне необходимо, так как современные информационные технологии позволяют выйти образовательному процессу на новый уро-вень[7]. Технологии помогают педагогам создавать смешанную среду обучения и использовать цифровые инструменты для формирующей и суммирующей оценки, предлагая новые модели для обучения и преподавания [6]. Для их защиты система управления информационной безопасностью в образовательном учреждении должна внедряться и функционировать должным образом.

СПИСОК ИСТОЧНИКОВ

1. Аудит информационной безопасности [Электронный ресурс]. - Режим доступа: https://www.smart-soft.ru/blog/audit_ib/ (дата обращения: 03.10.2022).

2. Бояркина . А., Бояркин В. В. Аспекты и угрозы информационной безопасности личности в информационном обществе // Проблемы и перспективы развития образования в России. Йошкар-Ола. 2017. С.293-299.

3. Информационная безопасность образовательных учреждений [Электронный ресурс]. -Режим доступа: https://searchinform.ru/resheniya/ otraslevye-resheniya/informatsюnnaya-bezopasnost-obrazovatelnykh-uchrezhdenij/ (дата обращения: 05.10.2022).

4. Кибератаки на школы [Электронный ресурс]. - Режим доступа: https://ixed.ru/kiberataki-na-shkoly-programmy-vymogateH-teper-naczeleny-na-sektor-obrazovaniya/ (дата обращения: 05.10.2022).

5. Угрозы информационной безопасности [Электронный ресурс]. - Режим доступа: https:// searchinform.ru/informatsionnaya-bezopasnost/ osnovy-ib/ugrozy-informatsюnnoj-bezopasnosti/ (дата обращения: 05.10.2022).

6. Сайфутдинов Р. А. Развитие информационно-коммуникационных компетенций в системе образования // Вестник Ульяновского государственного технического университета. 2019, № 3(87).

7. Сайфутдинов Р. А., Някина А. С. Формирование практических навыков использования цифровых технологий в профессиональной деятельности // Вестник Ульяновского государственного технического университета. 2019. №4(88).

Информация об авторах

Р. А. Сайфутдинов - доцент кафедры «Информатика» Ульяновского государственного педагогического университета им. И. Н. Ульянова Д. Ю. Белогрудова - магистрант Ульяновского государственного педагогического университета им. И. Н. Ульянова

Р. Р. Иматдинов - магистрант Ульяновского государственного педагогического университета им. И. Н. Ульянова.

Р. Р. Иматдинов - магистрант Ульяновского государственного педагогического университета им. И. Н. Ульянова

REFERENCES

1. Audit informacionnoj bezopasnosti [Information security audit] [Electronic resource]. Access mode: https://www.smart-soft.ru/blog/audit_ib / (accessed: 03.10.2022).

2. Boyarkina L. A. Boyarkin V. V. Aspekty i Hgrozv informacionnoi bezopasnosti lichnosti v informacionnom obshchestve [Aspects and threats of personal information security in the information society]. Problemy i perspektivy razvitiya obrazovaniya v Rossii [Problems and prospects of education development in Russia]. Yoshkar-Ola. 2017,pp.293-299.

3. Informacionnaya bezopasnost' obrazovatel'nyh uchrezhdenij [Information security of educational institutions] [Electronic resource]. -Access mode: https://searchinform.ru/resheniya/otraslevye-resheniya/informatsionnaya-bezopasnost-obrazovatelnykh-uchrezhdenij/ (accessed: 05.10.2022).

4. Kiberataki na shkoly [Cyber attacks on schools] [Electronic resource]. - Access mode: https://ixed.ru/kiberataki-na-shkoly-programmy-vymogateli-teper-naczeleny-na-sektor-obrazovaniya/ (accessed: 05.10.2022).

5. Ugrozy informacionnoj bezopasnosti [Threats to information security] [Electronic resource]. - Access mode https://searchinform.ru/ informatsionnaya-bezopasnost/osnovy-ib/ugrozy-informatsionnoj-bezopasnosti/ (accessed: 05.10.2022).

6. Sayfutdinov R. A. Razvitie informacionno-kommunikacionnyh kompetencij v sisteme obrazovaniya [Development of information and communication competencies in the education system]. Vestnik Ul'yanovskogo gosudarstvennogo

tekhnicheskogo universiteta [Bulletin of the Ulyanovsk State Technical University]. 2019, №3(87).

7. Sayfutdinov R. A., Nyakina A. S. For-mirovanie prakticheskih navykov ispol'zovaniya cifrovyh tekhnologij v professional'noj deyatel'nosti [Formation of practical skills of using digital technologies in professional activity]. Vestnik Ul'yanovskogo gosudarstvennogo tekhnicheskogo universiteta [Bulletin of the Ulyanovsk State Technical University]. 2019, № 4(88).

Information about the authors R. A. Sayfutdinov - Associate Professor of the Department of Informatics of the Ulyanovsk State Pedagogical University named after I. N. Ulyanov.

D. Yu. Belogrudova - Master's student of the Ulyanovsk State Pedagogical University named after I. N. Ulyanov.

R. R. Imatdinov - Master's student of the Ulyanovsk State Pedagogical University named after I. N. Ulyanov.

R. R. Imatdinov - Master's student of the Ulyanovsk State Pedagogical University named after I. N. Ulyanov Pedagogical University.

Статья поступила в редакцию 28.11.2022; одобрена после рецензирования 01.12.2022; принят к публикации 10.12.2022.

The article was submitted 28.11.2022; approved after reviewing 01.12.2022; accepted for publication 10.12.2022.