重要なポイント:
学校のサイバーセキュリティ監査はストレスを感じる必要はありません。何が起こるかを知っていれば、十分に準備を整え、将来の成功に向けて準備を整えることができます。最初の監査に費やした努力は、将来的にも成果をもたらします。最初の監査が完了すると、その後の監査ははるかに簡単になります。情報をリサイクルし、過去 1 年間に変更されたシステムやプロセスをわずかに調整することができます。最も重要なことは、サイバーセキュリティ監査が成功すれば、学校はサイバーセキュリティ保険に加入できるようになります。これはニーズが高まっており、将来的には義務化される可能性があります。
では、監査人は具体的に何を求めているのでしょうか?通常、多要素認証 (MFA)、安全なバックアップ、脆弱性/エンドポイント保護、サイバーセキュリティ意識向上トレーニングなど、いくつかの重要な事項が精査されます。
新しい学校安全リソース
- あなたの学校ではコンピュータ上でウイルス対策ソフトウェアを実行していますか?また、高度な脆弱性保護と検出を提供していますか?あなたの電子メールサーバーにも同様の保護機能がありますか?
- バックアップは「エアギャップ」されていますか? バックアップは実稼働環境とは別に存在しますか、それともクラウドに存在しますか?これはランサムウェアからの保護にとって重要です。
- MFA は意味のある場所であればどこでも有効になっていますか? MFA は、特にパスワードが侵害された場合に、ほとんどのハッカーを阻止できます。
- 教員や従業員に適切なサイバー衛生に関するトレーニングを行っていますか?人間の要素はセキュリティ チェーンの中で最も弱い部分であるため、脅威とその様子を人々に常に認識させることが、優れたセキュリティにとって最も重要です。
これらの中心的な質問を拡張すると、特定のテクノロジーに関する質問が追加される可能性があります。たとえば、どのような Wi-Fi 認証が使用されますか? ID 管理プラットフォームまたは RADIUS サーバーを使用していますか? VPN 設定の安全性はどの程度ですか? VPN は MFA を使用しますか? VPN にはどのような種類の MFA が使用されますか?誰が持っていますか 物理的な サーバーとバックアップへのアクセス?バックアップとデータ復旧の計画はありますか?バックアップをどのくらいの頻度でテストしますか?
監査人が学校のサイバーセキュリティ意識向上トレーニングを評価するとき、多くの場合、すべての従業員またはスタッフに必須であるかどうかを含め、これらのトレーニング セッションの頻度や頻度の両方を尋ねます。通常、トレーニングは少なくとも年に 1 回開催され、全従業員が参加することが求められますが、トレーニングの頻度が高い方が常に効果的です。学校では、ハラスメントトレーニングと並行して、これらのサイバーセキュリティトレーニングをスケジュールする場合があります。学校の文化によっては、学校の全スタッフが簡単に参加でき、内容を強化するために質問できるように、ウェビナーを通じてトレーニングを実施する方が良い場合があります。
これらのサイバーセキュリティ監査の質問のほとんどすべては、写真、スクリーンショット、または手順、ポリシー、トレーニングの証拠を示す公式文書とともに簡単な説明を行うことで解決できます。さらに、応答には、成功したバックアップやリカバリの詳細を示すバックアップ デバイスからのログが含まれる場合があります。監査と一緒にバックアップ・リカバリー計画または継続性計画を添付することもできます。監査に関する質問を証明する追加の証拠がある場合は、それを追加してください。
ただし、監査人はそれぞれ異なり、監査シートごとに異なる質問をすることになることに注意してください。場合によっては、質問の表現が奇妙であったり、解釈の余地がある場合があります。このような状況では、心配する必要はありません。できる限りの範囲で答え、証拠を提出するだけで済みます。監査人は、より明確な内容や詳細が必要かどうかを知らせてくれます。
学校の IT チームによる最初のサイバーセキュリティ監査が正常に完了すると、次の監査のテンプレートが提供されます。これを「生きている」文書として保管し、何か変更があった場合はそれに応じて更新するように IT スタッフに依頼してください。 VPN の MFA を変更しましたか? Wi-Fi アクセスのために、より堅牢な ID 管理を導入しているのではないでしょうか?いずれにせよ、これを示すように監査文書を更新してください。そうすれば、次の監査が近づいたら、あなた (または IT チーム) はリラックスしてリラックスして、監査人に文書を送ることができます。最も重要なことは、サイバーセキュリティ監査は、学校の IT 環境が安全であり、IT スタッフによって理解されていることを保証するのに役立ちます。また、絶対的な最悪の事態が発生した場合には、サイバーセキュリティ保険が残りの対処に役立ちます。
Dave Courbanou、インテリジェント クラウドケア
Dave Courbanou は、次の IT 管理者です。 インテリジェントなクラウドケアは、学校がサイバーセキュリティの衛生状態を改善し、ランサムウェア攻撃から保護し、ネットワークとインフラストラクチャを管理できるよう支援するマネージド サービス プロバイダーです。彼は 10 年以上の IT サービス経験があり、Intelligent CloudCare のサービスを率いています。 クラウドケア大学、オンライン サイバーセキュリティ トレーニングを提供しています。連絡先は [email protected] です。
eSchool メディア寄稿者による最新の投稿 (すべて表示)
#学校のサイバーセキュリティ監査の準備方法