Cyberatak na szkoły w Jerome. Odwołano poniedziałkowe zajęcia

Jerome School District w amerykańskim stanie Idaho odwołał zajęcia zaplanowane na 19 października po cyberataku, który zakłócił działanie sieci oraz komunikacji. Informację opublikowano 18 października. Incydent wykryto dzień wcześniej, a administracja uruchomiła procedury awaryjne.

Co potwierdzono

Według lokalnej stacji KMVT dyrektor okręgu Brent Johnson poinformował o działaniach mających ograniczyć skutki incydentu i zabezpieczyć systemy. Zespół informatyczny prowadzi dochodzenie przy współpracy organów stanowych i federalnych. Komunikat okręgu o odwołaniu zajęć udokumentował również serwis DysruptionHub.

Potwierdzonym skutkiem jest przerwa w funkcjonowaniu szkolnej infrastruktury informatycznej i odwołanie poniedziałkowych lekcji. Publiczne informacje nie pozwalają potwierdzić wycieku danych ani użycia oprogramowania ransomware. Nie wskazano sprawcy ani sposobu uzyskania dostępu. Deklaracji o ochronie informacji uczniów i pracowników nie należy utożsamiać z wynikiem zakończonej analizy.

Dlaczego to ma znaczenie

Zdarzenie pokazuje zależność podstawowych usług publicznych od dostępności infrastruktury informatycznej. Awaria sieci i komunikacji może wpłynąć na organizację pracy placówek, nawet zanim zostanie ustalone, czy napastnicy skopiowali dane.

Dla polskich szkół i innych instytucji jest to przykład do przeglądu własnych procedur ciągłości działania. Wnioskiem organizacyjnym jest potrzeba przygotowania sposobu podejmowania decyzji oraz przekazywania komunikatów także wtedy, gdy zwykłe narzędzia przestają działać.

Co sprawdzić teraz

Poniższe kroki są zaleceniami organizacyjnymi SecurHUB, a nie opisem zabezpieczeń zastosowanych w Jerome:

• Ustalić zastępczy kanał kontaktu z pracownikami i odbiorcami usług.
• Określić osoby uprawnione do ograniczenia pracy placówki i ogłoszenia zmian.
• Zweryfikować możliwość odtworzenia najważniejszych systemów z kopii zapasowych.
• Przygotować zasady zabezpieczania dzienników i innych śladów incydentu.
• Oddzielać w komunikatach potwierdzone zakłócenia od podejrzeń dotyczących danych.

Komentarz SecurHUB

Plan reagowania powinien obejmować zarówno analizę techniczną, jak i utrzymanie podstawowych procesów oraz komunikację z osobami dotkniętymi zdarzeniem. Obsługa incydentów bezpieczeństwa może wspierać ustalenie zakresu naruszenia i uporządkowanie działań naprawczych.

Źródła: KMVT, DysruptionHub — z udokumentowanym komunikatem okręgu