ETS зазнала витоку даних мільйонів учнів через скомпрометовані облікові дані

У вересні освітній підрядник Educational Testing Service (ETS), який проводить тестування школярів у штаті Каліфорнія, виявив витік даних, що торкнувся мільйонів нинішніх і колишніх учнів державних шкіл. Сторонній зловмисник використав скомпрометовані облікові дані для доступу та копіювання інформації впродовж кількох місяців.

За даними Департаменту освіти Каліфорнії (CDE), до скомпрометованих записів увійшли імена, дати народження, адреси, результати оцінювання, а також деякі дані, повʼязані з інвалідністю. Інцидент торкнувся навіть записів колишніх учнів, які датуються ще 2006 роком.

Судовий позов та аудит

Проти ETS подано пропозицію щодо колективного судового позову зі звинуваченням у недостатніх заходах захисту. Водночас Департамент освіти штату проводить перевірку дотримання компанією договірних вимог та стандартів безпеки даних. Результати цієї перевірки наразі не оприлюднені.

Експерти з кібербезпеки зазначають, що значна частина подібних інцидентів піддається запобіганню. Даг Левін, співзасновник некомерційної організації K12 Security Information Exchange, оцінив, що близько 80% інцидентів у шкільному сегменті та серед постачальників ПЗ можна усунути завдяки базовим практикам безпеки. Решта 20% припадає на складні цільові атаки та нові вразливості.

Проблеми перевірки постачальників EdTech

Фахівці звертають увагу на складність аудиту сторонніх сервісів. Лорел Нава, виконавча директорка асоціації California IT in Education (CITE), зазначила, що шкільні округи та державні органи не мають спеціального централізованого механізму для перевірки дотримання технологічними підрядниками стандартів безпеки.

Даг Левін запропонував замовникам включати чіткі вимоги до кібербезпеки та фінансові санкції в контракти з EdTech-вендорами, а також переглядати співпрацю у разі порушень.

Політика зберігання даних

Ще однією проблемою залишається надмірне накопичення та тривале зберігання інформації. Експерти вказують, що шкільні системи часто утримують більше даних, ніж вимагає закон.

У CITE наголошують на необхідності жорстких політик своєчасного видалення застарілих даних, обмеження обсягів інформації, яка передається зовнішнім сервісам, та звуження прав доступу лише до авторизованого персоналу. Слідчі інциденту в ETS поки публічно не встановили, чи порушила компанія законодавчі вимоги щодо строків зберігання інформації.