چرا تیم‌های فناوری اطلاعات آموزش باید از هویت انسان و ماشین محافظت کنند؟

در آغاز هر سال تحصیلی، مدارس، کالج‌ها و دانشگاه‌ها در سراسر بریتانیا برای ورود هزاران دانشجو، اعضای هیئت علمی و کارکنان جدید، تهیه حساب‌ها، صدور اعتبار و اتصال موجی از دستگاه‌های جدید به شبکه‌های سازمانی رقابت می‌کنند.

این فشار عملیاتی فرصت‌هایی را برای مهاجمان ایجاد می‌کند و امسال هوش مصنوعی این تهدید را بیش از هر زمان دیگری تقویت می‌کند. نه تنها کمپین‌های فیشینگ قانع‌کننده‌تر هستند، بلکه لایه‌ای پنهان از هویت‌های ماشین مدیریت‌نشده در حال گسترش سطح حملات سایبری است.

مهاجمان پایدار هستند و بخش آموزش همچنان هدف اصلی است و هر هفته با حملات سایبری زیادی مواجه می‌شود. نظرسنجی نقض امنیت سایبری دولت بریتانیا نشان داد که 27 درصد از مؤسسات آموزش عالی و بالاتر گزارش کرده اند که حداقل به صورت هفتگی یک نقض یا حمله را تجربه می کنند، در مقایسه با 14 درصد از مدارس ابتدایی و 20 درصد از مدارس متوسطه.

پیمایش پنجره گسترش یافته تهدید

بخش آموزش یکی از صنایعی است که بیشترین هدف را برای باج افزار، سرقت اعتبار و نقض داده ها دارد. برای هکرها، مدارس و دانشگاه‌ها ترکیب جذابی از داده‌های با ارزش، از جمله سوابق دانشجویی، اطلاعات مالی و تحقیقات، در کنار دپارتمان‌های فناوری اطلاعات که بودجه کافی ندارند و پایگاه کاربر عظیم و همیشه در حال چرخش را ارائه می‌دهند.

فصل بازگشت به مدرسه این فشار را تشدید می کند. ایجاد حساب انبوه، ثبت‌نام انبوه دستگاه و افزایش ورود برنامه‌های شخص ثالث به طور همزمان اتفاق می‌افتد و خطر بیشتری برای پیکربندی نادرست و حقوق دسترسی بیش از حد ایجاد می‌کند. دولت بریتانیا دریافت که هیچ یک از بخش‌های بخش آموزش اکثریت مؤسسات را مطابق با تمام 10 مرحله امنیت سایبری دولت ندارد.

تنها 14 درصد از مدارس ابتدایی، 23 درصد از مدارس متوسطه، 33 درصد از کالج های آموزش عالی و 45 درصد از مؤسسات آموزش عالی همه 10 مورد را پوشش داده اند. با ورود هزاران هویت و دستگاه جدید به این محیط ناامن، شناسایی و مدیریت شکاف ها در کنترل های امنیتی دشوارتر می شود.

هوش مصنوعی تهدیدات امنیت سایبری را به میزان قابل توجهی خطرناک‌تر کرده است. همان نظرسنجی دولتی نشان داد که فیشینگ تهدید اصلی شناسایی شده توسط مؤسساتی است که دچار نقض شده‌اند، و این ایمیل‌ها اکنون می‌توانند دقیقا ارتباطات دفاتر تأمین مالی دانشجویی، میزهای کمک فناوری اطلاعات یا رهبری دانشگاه‌ها را تقلید کنند، بدون اینکه هیچ یک از پرچم‌های قرمز سنتی که زمانی شناسایی آنها را آسان می‌کرد.

تحقیقات Keeper Security در زمینه هوش مصنوعی و امنیت سایبری در آموزش نشان داد که 41٪ از مدارس حوادث سایبری مرتبط با هوش مصنوعی، از جمله فیشینگ و اطلاعات نادرست را تجربه کرده اند، در حالی که 90٪ از رهبران آموزش در مورد تهدیدات امنیت سایبری مرتبط با هوش مصنوعی ابراز نگرانی کرده اند. با این حال، تنها یک نفر از هر چهار پاسخ دهنده از تشخیص تهدیدهای مبتنی بر هوش مصنوعی مانند دیپ فیک یا فیشینگ مبتنی بر هوش مصنوعی بسیار مطمئن بود.

از آنجایی که هوش مصنوعی حملات مهندسی اجتماعی را قانع‌کننده‌تر می‌کند، مؤسسات آموزشی باید آگاهی انسانی را با هویت قوی‌تر و کنترل‌های دسترسی که به شناسایی هر پیام مخرب توسط کاربران متکی نباشد، تقویت کنند.

سطح حمله پنهان: هویت های غیر انسانی در EdTech

با آغاز سال تحصیلی جدید دانش‌آموزان و کارکنان، تیم‌های فناوری اطلاعات به درستی بر امنیت حساب‌های انسانی متمرکز خواهند شد، اما یک جمعیت بسیار بزرگ‌تر از هویت‌های دیجیتال وجود دارد که به راحتی می‌تواند از توجه دور بماند: هویت‌های غیرانسانی (NHIs).

NHI ها اکنون در محیط های آموزشی مدرن جاسازی شده اند، از حساب های خدماتی که سوابق دانش آموزان را با پلتفرم های یادگیری همگام می کنند تا کلیدهای API که برنامه های شخص ثالث، کتاب های درسی دیجیتال و سیستم های پرداخت را به هم متصل می کنند.

هویت و گواهی‌های ماشین همه چیز را از Wi-Fi و بردهای هوشمند دانشگاه گرفته تا تجهیزات آزمایشگاهی و دوربین‌های امنیتی تأیید می‌کند، در حالی که بارهای کاری ابری پشتیبان‌گیری، خطوط لوله تحقیقاتی و فرآیندهای اداری را خودکار می‌کنند. به طور مشابه، عوامل هوش مصنوعی که ربات‌های چت پذیرش، میز کمک و ابزارهای درجه‌بندی را تقویت می‌کنند، لایه دیگری از هویت و امتیازات دسترسی را اضافه می‌کنند که موسسات باید مدیریت کنند.

این هویت‌ها برای فعال نگه‌داشتن مدارس و دانشگاه‌ها ضروری هستند، اما همچنین می‌توانند شکاف‌های امنیتی قابل‌توجهی ایجاد کنند، زمانی که اعتبارنامه‌ها به ندرت چرخانده می‌شوند، توکن‌های ادغام قدیمی فعال باقی می‌مانند یا به حساب‌های خودکار دسترسی بیش از نیازشان داده می‌شود.

برخلاف کارمندان و دانشجویان، NHI ها به طور طبیعی تحت تأثیر فرآیندهای سوار شدن و خارج شدن از هواپیما قرار نمی گیرند. بدون موجودی کامل، سازمان‌ها می‌توانند برای دانستن هویت‌های موجود، مالک آن‌ها و آنچه می‌توانند دسترسی داشته باشند، مبارزه کنند.

مکالمه امنیت سایبری در آموزش از لحاظ تاریخی بر حفاظت از دانش‌آموزان، معلمان و مدیران متمرکز بوده است، اما هویت‌های ماشینی که EdTech مدرن را تقویت می‌کنند مستحق همان بررسی هستند، زیرا صرف نظر از اینکه نقض از یک انسان نشات می‌گیرد یا ماشین، تأثیر یکسان است.

بازگشت به مدرسه فرصتی مفید برای بررسی هویت کامل - چه انسانی و چه غیرانسانی - حذف هویت‌هایی است که دیگر مورد نیاز نیستند و دسترسی آن‌هایی که باقی مانده‌اند سخت‌تر شود.

تیم های فناوری اطلاعات چگونه می توانند خطرات خود را کاهش دهند

برای اکثر موسسات، اصول مدیریت انسان قابل مدیریت است. شکاف مهم، رویت و حاکمیت بر NHIهایی است که به EdTech مدرن قدرت می‌دهند، مانند حساب‌های سرویس، توکن‌های API، گواهی‌های ماشین و عوامل هوش مصنوعی که با هر ادغام جدید چند برابر می‌شوند. تیم های امنیتی باید این اقدامات را برای کمک به ایمن سازی NHI ها و انسان ها انجام دهند.

احراز هویت چند عاملی را فعال کنید

با شروع ترم جدید، سازمان‌ها باید اطمینان حاصل کنند که MFA در تمام حساب‌های اعضای هیئت علمی، کارکنان و دانشجویان اجرا می‌شود، و کاربران جدید از لحظه ارائه به صورت پیش‌فرض وارد آن می‌شوند. وزارت امور خارجه همچنان یک دفاع اساسی در برابر حملات مبتنی بر اعتبار است.

دسترسی ممتاز حسابرسی

بسیاری از حساب‌ها به کاربران دسترسی ممتازی فراتر از آنچه برای نقش آنها ضروری است، می‌دهند. امتیازات باید هم برای انسان ها و هم برای غیرانسان ها حسابرسی شود. این شامل حذف دسترسی برای کارمندان و دانشجویان خارج شده، بازنشستگی حساب‌های خدمات منقضی شده و حذف امتیازات اداری غیر ضروری است.

مدیران رمز عبور سازمانی را مستقر کنید

امنیت رمز عبور همچنان یکی از سخت ترین مشکلات برای تیم های امنیتی است. آگاهی و آموزش می‌تواند دانش‌آموزان، اساتید و کارمندان را در مورد نحوه ایجاد رمزهای عبور قوی، دانش فراهم کند، اما تبدیل این دانش به عمل دشوار است زیرا استفاده مجدد از رمز عبور، رمزهای عبور نوشته شده و ذخیره‌سازی مرورگر رایج هستند. مدیران گذرواژه سازمانی این شکاف را حذف می‌کنند و به کاربران امکان می‌دهند اعتبارنامه‌های قوی و منحصربه‌فرد ایجاد و ذخیره کنند.

فهرستی از هویت غیرانسانی بسازید

شما نمی توانید چیزی را که نمی بینید ایمن کنید. مدارس باید هر حساب سرویس، کلید API، گواهی ماشین، هویت ابری و عامل هوش مصنوعی را فهرست‌بندی کنند. مالکیت را ایجاد کنید و آنچه را که هر هویت می تواند به آن دسترسی داشته باشد، ثبت کنید.

سیاست های چرخش اعتبارنامه را ایجاد کنید

ایجاد خط‌مشی‌های چرخش اعتبار برای هویت‌های ماشین، با توجه ویژه به عوامل هوش مصنوعی و ادغام‌های EdTech شخص ثالث که برای سال تحصیلی جدید اضافه شده‌اند، مهم است. هک سیستم مدیریت یادگیری Canvas که در آوریل 2026 گزارش شد، تقریبا 9000 مؤسسه آموزشی را در سراسر جهان تحت تأثیر قرار داد - یادآور این است که اعتبارنامه های شخص ثالث به همان نظم چرخشی مانند حساب های داخلی نیاز دارد.

دسترسی شخص ثالث باید به طور منظم مورد بررسی قرار گیرد و تیم های امنیتی باید امنیت همه شرکا و تامین کنندگان فعلی و بالقوه را بررسی کنند.

آموزش به روز شده

آموزش آگاهی از امنیت باید همگام با چشم انداز تهدید باشد، به ویژه در مورد فیشینگ، جایی که پیام های تولید شده توسط هوش مصنوعی ممکن است از ارتباطات سازمانی قانونی قابل تشخیص نباشد. کارکنان باید به‌جای تکیه بر نشانه‌های بصری، به‌طور مستقل درخواست‌های غیرمعمول را تأیید کنند

جلو افتادن از عجله

بازگشت به مدرسه همیشه تیم‌های فناوری اطلاعات آموزش و پرورش را تحت فشار قرار می‌دهد، اما لازم نیست پنجره‌ای باز برای مهاجمان ایجاد کند. همانطور که موسسات سال تحصیلی جدید را آغاز می‌کنند، امنیت باید فراتر از پذیرش دانشجویان و کارکنان باشد تا هر هویتی را با دسترسی به سیستم‌ها و داده‌های حیاتی درک کنند.

تیم‌های فناوری اطلاعات با اجرای احراز هویت قوی، سخت‌تر کردن دسترسی‌های ممتاز، بهبود بهداشت اعتبار و به‌دست آوردن دید نسبت به جمعیت رو به رشد هویت‌های غیرانسانی، می‌توانند به میزان قابل توجهی از قرار گرفتن در معرض آن‌ها بکاهند.

امنیت باید به عنوان یک نظم و انضباط مستمر تلقی شود، نه یک چک لیست بازگشت به مدرسه. بسیار مهم است که هر هویت انسانی و ماشینی، برای هدف درست و تنها تا زمانی که به آن نیاز است، دسترسی مناسب داشته باشد.

ما بهترین نرم افزار آنتی ویروس را معرفی کرده ایم.

این مقاله به عنوان بخشی از TechRadar Pro Perspectives، کانال ما برای معرفی بهترین و باهوش ترین ذهن ها در صنعت فناوری امروز تهیه شده است.

نظرات بیان شده در اینجا نظرات نویسنده است و لزوما نظرات TechRadarPro یا Future plc نیست. اگر مایل به مشارکت هستید، اطلاعات بیشتری را در اینجا بیابید: https://www.techradar.com/pro/perspectives-how-to-submit