NCSC offre aux enseignants une formation gratuite en cybersécurité

Le National Cyber Security Centre (NCSC) du Royaume-Uni a publié une trousse de formation gratuite sur la cybersécurité à l’adresse des enseignants et d’autres membres du personnel scolaire, établissant des mesures à prendre pour aider à atténuer les cyberattaques et s’appuyant sur des études de cas réelles pour démontrer l’impact de tels incidents.

Ces ressources sont le plus récent ajout à un ensemble croissant de mesures de soutien offertes par la NCSC alors que les écoles et les universités à travers le Royaume-Uni sont touchées par une vague de cyberattaques, qui ont commencé à augmenter à mesure que les blocages de Covid-19 forcaient le secteur de l’éducation à passer à l’enseignement à distance, et n’ont pas abandonné, même avec le retour de l’enseignement en face à face.

Sarah Lyons, directrice adjointe de la NCSC pour l’économie et l’engagement de la société, a déclaré : « Il est absolument vital pour les écoles et leur personnel de comprendre leurs cyberrisques et comment mieux se protéger en ligne. C’est pourquoi nous avons créé une trousse de formation accessible et gratuite offrant des étapes pratiques sur la cybersécurité pour aider les professionnels occupés à renforcer leurs défenses.

« En se familiarisant avec cette ressource, le personnel peut aider à réduire les risques que l’éducation vitale des enfants soit perturbée par les cybercriminels », a-t-elle déclaré.

Le ministre des Écoles, Nick Gibb, a ajouté : « Il est essentiel que les écoles aient mis en place une cybersécurité solide, et ces nouvelles ressources et formations aideront le personnel à accroître la protection contre les attaques.

« Cette formation renforcera le soutien aux écoles, en donnant aux enseignants les outils et les compétences dont ils ont besoin pour identifier les risques possibles. J’encourage fortement toutes les écoles à adopter les ressources et tout le personnel pour compléter la formation afin de s’assurer que les données sont protégées.

La trousse de formation est conçue pour être accessible par n’importe quel membre du personnel, quel que soit le rôle ou le niveau de connaissances techniques, et se présente également sous forme de présentation scénarisé. Il peut être consulté via le site Web de la NCSC et met en lumière les menaces les plus dangereuses auxquelles les écoles sont confrontées, et décrit l’impact que les cyberattaques réussies peuvent avoir.

L’une des études de cas met en lumière un incident au cours duquel un hameçonnage vocal réussi – ou vishing – attaque au cours de laquelle des cybercriminels se sont fait passer pour le ministère de l’Éducation (DfE) pour obtenir les coordonnées électroniques du chef des finances et du directeur de la cible. Cela a ensuite été utilisé pour cibler le directeur avec un e-mail de phishing personnalisé qui, une fois ouvert, téléchargé ransomware qui s’est propagé à travers le réseau, cryptant les données de l’école. Le gang ransomware a exigé £ 8,000 pour la clé de décryptage.

Dans un autre exemple, les cybercriminels ont ciblé un réceptionniste scolaire indépendant en utilisant des courriels d’hameçonnage pour voler les coordonnées des parents. Les cybercriminels se sont fait passer pour un spécialiste de l’audit et de la conformité. Ils ont ensuite envoyé par courriel aux parents se faisant passer pour l’école elle-même, leur demandant de modifier les coordonnées bancaires auxquelles ils payaient les frais de scolarité à ceux d’un compte contrôlé par le gang. Les détails des parents ont également été utilisés dans les escroqueries de fraude d’identité.

Cependant, les incidents qui affectent les écoles ne sont pas toujours l’œuvre de cybercriminels malveillants. Dans un autre cas mis en évidence dans la trousse de formation, un enseignant a laissé son mot de passe système écrit sur une note post-it, d’où un élève l’a volé et l’a utilisé pour accéder à son ordinateur portable et à d’autres systèmes, et changer ses notes. L’école a été sanctionnée par le Bureau du commissaire à l’information (OIC) pour violation de la Loi sur la protection des données.

Le paquet met en évidence quatre étapes clés que le personnel de l’école devrait prendre :

1. Se défendre contre les tentatives d’hameçonnage en réduisant la quantité d’informations dont ils sont accessibles au public, par exemple, sur les médias sociaux, en étant attentif aux courriels suspects et en demandant de l’aide s’il n’est pas sûr d’une demande.
2. Utiliser des mots de passe forts qui diffèrent d’un compte à l’autre, protégés par une authentification à deux facteurs dans la mesure du possible.
3. Pour sécuriser les appareils, appliquez les mises à jour de sécurité nécessaires, téléchargez uniquement des logiciels à partir de sources officielles et verrouillez les écrans lorsqu’ils ne sont pas utilisés.
4. Signaler les soupçons dès que possible.