Университеты и вузы
защита ЭИОС, порталов, приёмной кампании, научных данных, кампусных сетей
Образование
Информационная безопасность образовательных организаций
Защищаем информационные системы вузов, школ, колледжей и EdTech-платформ: персональные данные обучающихся и сотрудников, электронную информационно-образовательную среду, порталы и личные кабинеты, системы приёмной кампании, дистанционного обучения и электронных дневников.
Работаем в соответствии с требованиями законодательства о персональных данных, приказов ФСТЭК, законодательства о защите детей от вредной информации и о критической информационной инфраструктуре.
Отраслевые сегменты
С кем мы работаем
Требования к информационной безопасности в образовании сильно различаются: государственный вуз, муниципальная школа и коммерческая EdTech-платформа живут в разных регуляторных режимах. Мы работаем со всеми сегментами отрасли.
Высшее образование и наука
Научно-исследовательские институты и центры
защита результатов исследований, лабораторных систем, объектов КИИ в сфере науки
Филиальные сети вузов
сегментация распределённой инфраструктуры, безопасный доступ между площадками
Общее и среднее профессиональное образование
Школы и лицеи
контентная фильтрация, защита персональных данных несовершеннолетних, электронные журналы и дневники
Колледжи и техникумы
защита учебных лабораторий, компьютерных классов, учётных систем
Органы управления образованием
защита региональных информационных систем в сфере образования, ведомственных сетей
EdTech и дистанционное обучение
Онлайн-школы и образовательные платформы
защита клиентских данных, платежей, личных кабинетов и мобильных приложений
Разработчики образовательного ПО
безопасная разработка, защита инфраструктуры и API-интеграций
Корпоративные университеты
защита данных сотрудников заказчиков и учебного контента
Отрасль
Образование — отрасль с большими объёмами персональных данных и открытым периметром
Образовательные организации обрабатывают персональные данные обучающихся, в том числе несовершеннолетних, их родителей, абитуриентов и сотрудников. При этом инфраструктура вуза или школы, как правило, открыта: публичные Wi-Fi-сети, компьютерные классы, тысячи учётных записей, внешние порталы и личные кабинеты. Это делает образование удобной целью для атак и зоной повышенного внимания со стороны регуляторов.
Большие объёмы персональных данных, в том числе несовершеннолетних
Приёмные кампании, электронные журналы, ЭИОС, системы дистанционного обучения содержат данные тысяч обучающихся и их родителей.
Открытая и слабо сегментированная инфраструктура
Публичный Wi-Fi, гостевые сети, компьютерные классы, общежития, личные устройства студентов и преподавателей — множество точек входа.
Атаки на веб-порталы и личные кабинеты
Сайт вуза, портал приёмной кампании, электронный дневник — публичные сервисы, доступные для атак круглосуточно.
Требования к контентной фильтрации
Образовательные организации обязаны ограничивать доступ обучающихся к информации, несовместимой с задачами образования и воспитания.
Дефицит ИБ-специалистов и ограниченный бюджет
В большинстве образовательных организаций нет отдельной службы информационной безопасности — задачи ложатся на системного администратора.
Ключевые риски
От чего мы защищаем
Взлом портала или сайта образовательной организации
Размещение порочащей информации, дефейс, компрометация посетителей сайта.
Изменение данных об успеваемости и результатах экзаменов
Искажение или удаление результатов, оспаривание итогов, разбирательства и репутационный ущерб.
Утечка персональных данных обучающихся и сотрудников
Штрафы по 152-ФЗ, проверки Роскомнадзора, обращения родителей, репутационные потери.
Атаки на личные кабинеты и системы дистанционного обучения
Компрометация учётных записей студентов, преподавателей, абитуриентов.
Фишинг и поддельные формы аутентификации
Кража учётных данных сотрудников и обучающихся, заражение рабочих станций.
Шифровальщики в корпоративной сети
Остановка учебного процесса, потеря учебных материалов и учётных данных.
Отсутствие сегментации между учебной и административной сетью
Проникновение из компьютерного класса или гостевого Wi-Fi в бухгалтерию и учётные системы.
Атаки на инфраструктуру во время приёмной кампании и сессии
Недоступность сервисов в самый нагруженный период, срыв сроков подачи документов.
DDoS-атаки на публичные сервисы
Недоступность сайта, портала, электронного дневника.
Доступ обучающихся к запрещённой информации
Нарушение требований законодательства, предписания надзорных органов.
Утечка научных и исследовательских данных
Потеря результатов исследований, нарушение условий грантов и договоров.
Инсайдерские действия
Несанкционированный доступ к оценкам, приказам, персональным данным.
Нормативный контур
Требования, которые мы помогаем выполнить
Образовательные организации одновременно попадают под законодательство о персональных данных, требования ФСТЭК к государственным информационным системам, законодательство о защите детей от вредной информации, а при наличии научной деятельности — под требования о критической информационной инфраструктуре.
Состав применимых требований зависит от статуса организации, вида информационных систем и характера обрабатываемой информации. Для муниципальных образовательных организаций применимость требований определяется статусом информационной системы, составом обрабатываемой информации и решениями заказчика или регулятора. Мы помогаем определить применимые требования и выстроить защиту без формального подхода.
Нормативная база: 152-ФЗ, 273-ФЗ, 436-ФЗ, 187-ФЗ, ПП РФ № 1119,
ПП РФ № 127, приказы ФСТЭК № 21, № 77, № 117, № 235, № 239, Указ
Президента РФ № 250.
Защита персональных данных обучающихся, родителей и сотрудников по Приказу ФСТЭК № 21 и 152-ФЗ
Определение уровня защищённости информационных систем персональных данных по ПП РФ № 1119
Защита государственных информационных систем и иных информационных систем государственных органов, ГУП и государственных учреждений по Приказу ФСТЭК № 117 — если применимо
Сопровождение аттестации объектов информатизации по Приказу ФСТЭК № 77
Контентная фильтрация и ограничение доступа обучающихся к запрещённой или вредной информации с учётом 436-ФЗ и локальных нормативных актов организации
Защита ЭИОС, систем дистанционного обучения и образовательных сервисов с учётом требований 273-ФЗ и локальных нормативных актов организации
Категорирование и защита объектов КИИ в сфере науки — если применимо по результатам категорирования
Подключение к ГосСОПКА и взаимодействие с НКЦКИ
Выполнение требований Указа Президента РФ № 250 по отказу от иностранных СЗИ
Защищённое взаимодействие с федеральными государственными информационными системами в сфере образования
Подготовка к проверкам Роскомнадзора, ФСТЭК и Рособрнадзора
Этапы проекта
Как мы выстраиваем защиту образовательной организации
Обследуем инфраструктуру
Анализируем корпоративную и учебную сети, Wi-Fi и гостевой доступ, компьютерные классы, серверы, порталы и личные кабинеты, ЭИОС, системы дистанционного обучения, филиалы и общежития.
Определяем состав информационных систем и применимые требования
Выявляем информационные системы персональных данных, государственные информационные системы, при необходимости — объекты КИИ, определяем уровень защищённости и класс защищённости.
Разрабатываем модель угроз и документацию
Готовим модель угроз и нарушителя, техническое задание, организационно-распорядительную документацию, при необходимости согласуем с регулятором.
Проектируем архитектуру защиты
Сегментация учебной, административной и гостевой сетей, NGFW, контентная фильтрация, WAF, защита от DDoS, SIEM, EDR, резервное копирование, двухфакторная аутентификация.
Внедряем без остановки учебного процесса
Поэтапно: обследование → пилот → тестовый режим → настройка политик → перевод в промышленную эксплуатацию. Работы планируем с учётом сессий, приёмной кампании и каникулярных периодов.
Передаём систему в сопровождение
Мониторинг, регламенты реагирования, отчётность для регуляторов, обучение системных администраторов и ответственных за информационную безопасность, поддержка.
Направления работ
Что мы делаем для образовательных организаций
01
Персональные данные и регуляторика
- Защита персональных данных по 152-ФЗ и приказу ФСТЭК № 21
- Определение уровня защищённости информационных систем персональных данных и разработка модели угроз
- Защита государственных информационных систем по Приказу ФСТЭК № 117 — если применимо
- Подготовка объекта информатизации к аттестации и сопровождение аттестации по Приказу ФСТЭК № 77
- Разработка организационно-распорядительной документации
- Подготовка к проверкам Роскомнадзора и ФСТЭК
02
КИИ и взаимодействие с регуляторами
- Категорирование объектов КИИ и подготовка пакета документов
- Защита значимых объектов КИИ по Приказу ФСТЭК № 239
- Создание систем безопасности значимых объектов КИИ по Приказу № 235
- Подключение к ГосСОПКА и взаимодействие с НКЦКИ
03
Защита порталов и образовательных сервисов
- Защита веб-приложений и API (WAF)
- Защита от DDoS
- Защита личных кабинетов, ЭИОС и систем дистанционного обучения
- Защита мобильных приложений
04
Защита инфраструктуры
- Защита периметра и сегментация сети между учебным, административным и гостевым сегментами
- Контентная фильтрация и ограничение доступа к запрещённой информации
- Замена иностранных средств защиты на отечественные
- Безопасный удалённый доступ для преподавателей и филиалов (VPN + 2FA)
- Защита Wi-Fi и гостевых сетей
- Резервное копирование и катастрофоустойчивость
05
Мониторинг и реагирование
- Внедрение SIEM и построение SOC
- Управление уязвимостями
- Тестирование на проникновение
- Защита от целевых атак: песочницы, NTA-системы
06
Защита данных и рабочих мест
- Защита от утечек (DLP)
- Защита АРМ и серверов: антивирусы, EDR
- Контроль съёмных носителей
- Обучение сотрудников и преподавателей основам информационной безопасности
Технологии
Подбираем решения под инфраструктуру и бюджет образовательной организации
Подбираем отечественные решения с учётом требований регуляторов, наличия сертификатов ФСТЭК для конкретной версии продукта, класса защищённости информационной системы, количества пользователей, наличия филиалов и ограничений по бюджету.
NGFW / Межсетевые экраныUserGate, Континент, PT NGFW, Ideco
Контентная фильтрацияSkyDNS, Ideco, встроенные механизмы NGFW
WAFPT Application Firewall, SolidWall
Защита от DDoSотечественные операторские и on-premise решения
Средства защиты от НСДSecret Net Studio, Dallas Lock, Аккорд
Антивирусы и EDRKaspersky, Dr.Web
SIEMMaxPatrol SIEM, Kaspersky KUMA, RuSIEM
DLPInfoWatch Traffic Monitor, СёрчИнформ КИБ
Сканеры уязвимостейMaxPatrol VM, RedCheck, Сканер-ВС
Криптографическая защитаViPNet, КриптоПро, Континент TLS
Резервное копированиеКибер Бэкап, RuBackup
Когда обращаются
В каких ситуациях мы помогаем
Если у вас одна или несколько из перечисленных ситуаций — поможем выстроить защиту, подготовить документы и взаимодействовать с регулятором.
- Готовитесь к проверке Роскомнадзора или ФСТЭК
- Произошёл инцидент или подозрение на утечку персональных данных обучающихся
- Взломан сайт, портал или личный кабинет
- Нужно привести обработку персональных данных в соответствие с 152-ФЗ
- Требуется аттестация объекта информатизации или поддержание действующего аттестата
- Нужно организовать контентную фильтрацию в школах и компьютерных классах
- Требуется сегментировать учебную, административную и гостевую сети
- Растёт нагрузка на портал в период приёмной кампании, нужна защита от DDoS
- Нужно категорировать объекты КИИ и подключиться к ГосСОПКА
- Требуется заменить иностранные средства защиты на отечественные
- Запускается новая образовательная платформа или система дистанционного обучения
- Не хватает внутренних специалистов для сопровождения систем защиты
Наш опыт
Кейсы
Кейс 1. Защита веб-портала университета от атак на веб-приложения
Задача
В условиях растущего числа кибератак на веб-приложения университету потребовался современный инструмент для мониторинга безопасности портала и защиты его от современных атак.
Что сделали
Внедрили межсетевой экран уровня приложений PT Application Firewall, предназначенный для выявления и блокирования современных атак на веб-порталы.
Результат
Обеспечено своевременное обнаружение попыток атак на сайт, в том числе Shellshock, SQL Injection, XSS, попыток загрузки вредоносного кода и атак, направленных на выполнение произвольного кода на стороне сервера. Снижены риски, при реализации которых злоумышленники могли бы:
- проникнуть во внутренние информационные системы вуза;
- изменить содержимое сайта, например разместить порочащую информацию, скорректировать или удалить результаты ЕГЭ и данные об успеваемости студентов;
- получить доступ к конфиденциальной информации вуза и персональным данным сотрудников, студентов и абитуриентов;
- атаковать пользователей приложения — похищать учётные данные с помощью поддельной формы аутентификации или заражать рабочие станции вредоносным ПО;
- получить доступ к файлам на веб-сервере;
- нарушить работу веб-сервера.
Наименование заказчика не разглашается в соответствии с соглашением о конфиденциальности.
Кейс 2. Сегментация сети университета и вынос сервисов в демилитаризованную зону
Задача
Разграничить локальные сегменты сети университета и обеспечить безопасную публикацию сервисов при высокой нагрузке: инфраструктура обслуживает более 5 000 подключений сотрудников и студентов, включая Wi-Fi.
Что сделали
Внедрили кластер из двух межсетевых экранов UserGate F8000 за пограничным межсетевым экраном — для разграничения локальных сегментов сети и организации демилитаризованной зоны (ДМЗ). Решение выбрано с учётом нагрузки более 5 000 подключений сотрудников и студентов и наличия Wi-Fi-сети.
Наименование заказчика не разглашается в соответствии с соглашением о конфиденциальности.
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- 4+ региона присутствия
- Лицензии ФСТЭК и ФСБ — работаем со сведениями, составляющими государственную тайну, и оказываем услуги по технической защите конфиденциальной информации
- Опыт защиты инфраструктуры образовательных организаций: сегментация сети, защита веб-портала, отказоустойчивое межсетевое экранирование
- Работаем в партнёрстве с аккредитованной испытательной лабораторией для сопровождения аттестации
- Полный цикл услуг: консалтинг, аудит, проектирование, внедрение, сопровождение
- Команда сертифицированных инженеров по ключевым отечественным решениям
- Понимаем специфику образовательных организаций: ограниченный бюджет, сезонная нагрузка, открытая инфраструктура и большое количество пользователей
Начать проект
Получить план защиты вашей образовательной организации
Расскажите о задаче — защита персональных данных обучающихся, аттестация информационной системы, защита портала и личных кабинетов, контентная фильтрация, сегментация сети или комплексная защита. Мы проведём первичное обследование и предложим план работ.