چرا تیم‌های امنیت اطلاعات در دانشگاه‌ها و مدارس باید از هویت‌های انسانی و ماشینی به یک اندازه محافظت کنند؟

با آغاز هر سال تحصیلی، مدارس، کالج‌ها و دانشگاه‌ها در سراسر بریتانیا با شتاب فراوان فرایند ثبت‌نام و پذیرش هزاران دانشجو، دانش‌آموز، استاد و کارمند تازه را پیش می‌برند؛ روالی پرتب‌وتاب که با ایجاد حساب‌های کاربری جدید، صدور اطلاعات هویتی و اتصال موجی از دستگاه‌های نو به شبکه‌های سازمانی همراه است.

این فشار عملیاتی سنگین، فرصت‌های طلایی متعددی را برای نفوذگران فراهم می‌کند و امسال هوش مصنوعی ابعاد این تهدیدها را بیش از هر زمان دیگری گسترش داده است. در این شرایط، نه‌تنها کارزارهای فیشینگ به لطف هوش مصنوعی بسیار باورپذیرتر شده‌اند، بلکه لایه‌ای پنهان و مدیریت‌نشده از هویت‌های ماشینی نیز سطح حملات سایبری را به شکلی بی‌سابقه وسعت بخشیده است.

مهاجمان سایبری پیوسته در کمین نشسته‌اند و بخش آموزش همچنان یکی از اصلی‌ترین اهداف آنها به شمار می‌رود، تا جایی که بسیاری از مراکز آموزشی به‌طور هفتگی هدف حملات سایبری قرار می‌گیرند. بر اساس پیمایش دولتی بریتانیا در زمینه رخنه به امنیت سایبری، ۲۷ درصد از مؤسسه‌های آموزش عالی و تکمیلی گزارش داده‌اند که دست‌کم هفته‌ای یک بار با یک حمله سایبری یا رخنه امنیتی دست‌وپنجه نرم می‌کنند؛ آماری که برای مدارس ابتدایی ۱۴ درصد و برای مدارس متوسطه ۲۰ درصد گزارش شده است.

پیمایش در بازه زمانی پرخطر و گسترش دامنه تهدیدها

بخش آموزش همواره یکی از جذاب‌ترین اهداف برای حملات باج‌افزاری، سرقت داده‌های هویتی و رخنه به اطلاعات محرمانه بوده است. برای هکرها، مدارس و دانشگاه‌ها ترکیب وسوسه‌انگیزی از داده‌های فوق‌العاده باارزش، نظیر پرونده‌های تحصیلی دانشجویان، اطلاعات مالی و اسناد پژوهشی را در کنار بخش‌های فناوری اطلاعاتِ با بودجه محدود و جامعه کاربری عظیم و پیوسته در حال گردش ارائه می‌دهند.

فصل بازگشایی مراکز آموزشی این فشار را دوچندان می‌کند. ایجاد انبوه حساب‌های کاربری، ثبت هم‌زمان شمار زیادی از دستگاه‌ها و افزوده شدن حجم گسترده‌ای از نرم‌افزارهای شخص ثالث، همگی هم‌زمان رخ می‌دهند؛ پدیده‌ای که ریسک پیکربندی‌های نادرست و اعطای دسترسی‌های بیش‌ازحد را به‌شدت افزایش می‌دهد. بررسی‌های دولت بریتانیا نشان می‌دهد در هیچ مقطعی از بخش آموزش، اکثریت مراکز نتوانسته‌اند هر ۱۰ گام بنیادین امنیت سایبریِ ارائه‌شده از سوی دولت را به طور کامل پیاده‌سازی کنند.

طبق این داده‌ها، تنها ۱۴ درصد از مدارس ابتدایی، ۲۳ درصد از مدارس متوسطه، ۳۳ درصد از کالج‌های آموزش تکمیلی و ۴۵ درصد از مؤسسه‌های آموزش عالی توانسته‌اند هر ۱۰ گام امنیتی را محقق کنند. با ورود هزاران هویت و دستگاه تازه به چنین فضای ناامنی، شناسایی و مدیریت شکاف‌های امنیتی دشوارتر از گذشته خواهد شد.

در این میان، ظهور و تکامل هوش مصنوعی تهدیدهای سایبری را به مراتب خطرناک‌تر کرده است. همان پیمایش دولتی نشان داد که فیشینگ، تهدید اصلی شناسایی‌شده توسط مؤسسه‌هایی بوده که رخنه امنیتی را تجربه کرده‌اند. نگران‌کننده‌تر اینکه ایمیل‌های فیشینگ حالا می‌توانند پیام‌های دریافتی از دفاتر وام‌های دانشجویی، پشتیبانی فناوری اطلاعات یا مدیریت دانشگاه را بی‌نقص تقلید کنند؛ بدون آنکه هیچ‌یک از نشانه‌های هشداردهنده سنتی و غلط‌های نگارشی را که شناسایی آنها را آسان می‌کرد، به همراه داشته باشند.

پژوهش‌های شرکت کیپر سکیوریتی (Keeper Security) در حوزه هوش مصنوعی و امنیت سایبری در بخش آموزش نشان می‌دهد که ۴۱ درصد از مدارس، حوادث سایبری مرتبط با هوش مصنوعی نظیر فیشینگ و انتشار اطلاعات جعلی را تجربه کرده‌اند؛ در حالی که ۹۰ درصد از مدیران ارشد آموزشی نگرانی جدی خود را از تهدیدهای سایبری ناشی از هوش مصنوعی ابراز داشته‌اند. با این وجود، تنها یک نفر از هر چهار پاسخ‌دهنده اطمینان کامل داشت که می‌تواند تهدیدهای مبتنی بر هوش مصنوعی مانند جعل عمیق (Deepfake) یا فیشینگ هوشمند را به درستی تشخیص دهد.

با توجه به اینکه هوش مصنوعی حملات مهندسی اجتماعی را بسیار فریبنده‌تر و طبیعی‌تر کرده است، مؤسسه‌های آموزشی باید در کنار ارتقای آگاهی کاربران، کنترل‌های هویتی و دسترسی بسیار مستحکمتری را مستقر سازند تا امنیت سیستم به توانایی کاربران در تشخیص تک‌تک پیام‌های مخرب وابسته نباشد.

هم‌زمان با آغاز سال تحصیلی جدید برای دانشجویان و کارکنان، تمرکز اصلی تیم‌های فناوری اطلاعات به‌طور طبیعی بر ایمن‌سازی حساب‌های کاربری انسانی معطوف می‌شود؛ اما در این میان جمعیت بسیار بزرگ‌تری از هویت‌های دیجیتال وجود دارد که به‌سادگی از نگاه مسئولان پنهان می‌ماند: «هویت‌های غیرانسانی» (Non-Human Identities یا NHI).

هویت‌های غیرانسانی اکنون در تاروپود محیط‌های آموزشی مدرن نفوذ کرده‌اند؛ از حساب‌های کاربری سرویس (Service Accounts) که سوابق آموزشی دانشجویان را با پلتفرم‌های یادگیری همگام‌سازی می‌کنند، تا کلیدهای API که برنامه‌های کاربردی شخص ثالث، کتاب‌های درسی دیجیتال و سیستم‌های پرداخت مالی را به یکدیگر پیوند می‌دهند.

هویت‌ها و گواهی‌های دیجیتال ماشین‌ها، همه‌چیز را از شبکه وای‌فای دانشگاه و تخته‌های هوشمند گرفته تا تجهیزات آزمایشگاهی و دوربین‌های نظارتی احراز هویت می‌کنند؛ در همین حال، بارهای کاری ابری وظیفه خودکارسازی پشتیبان‌گیری‌ها، خطوط لوله پردازش پژوهش‌ها و فرایندهای اداری را بر عهده دارند. به همین ترتیب، ایجنت‌های هوش مصنوعی که نیروی محرکه چت‌بات‌های پذیرش، میزهای پاسخگویی به کاربران و ابزارهای نمره‌دهی خودکار هستند، لایه دیگری از هویت‌ها و مجوزهای دسترسی پیچیده را شکل داده‌اند که مراکز آموزشی ناگزیر به مدیریت آنها هستند.

این هویت‌های غیرانسانی نقشی حیاتی در تداوم فعالیت مدارس و دانشگاه‌ها ایفا می‌کنند، اما زمانی که اطلاعات احراز هویت آنها به‌ندرت نوسازی یا دوره‌ای تعویض (Rotate) شود، توکن‌های اتصال قدیمی فعال باقی بمانند یا به حساب‌های خودکار دسترسی‌هایی بسیار فراتر از نیاز واقعی‌شان اعطا شود، رخنه‌های امنیتی چشمگیری پدید می‌آورند.

برخلاف کارمندان و دانشجویان، هویت‌های غیرانسانی به‌طور طبیعی در سازوکارهای مرسوم ورود و خروج کاربران ثبت نمی‌شوند. در نبود یک فهرست دارایی دقیق و جامع، سازمان‌ها برای فهمیدن اینکه چه هویت‌هایی در شبکه وجود دارند، مالکیت آنها با چه بخشی است و دقیقاً به چه منابعی دسترسی دارند، با سردرگمی جدی روبه‌رو خواهند شد.

گفتمان امنیت سایبری در حوزه آموزش در طول تاریخ همواره بر حفاظت از دانش‌آموزان، معلمان و مدیران متمرکز بوده است؛ اما هویت‌های ماشینی که زیرساخت فناوری‌های نوین آموزشی (EdTech) را به حرکت درمی‌آورند نیز شایسته همان سطح از موشکافی و دقت هستند؛ چراکه پیامد فاجعه‌بار یک نفوذ سایبری، فارغ از اینکه مبدأ آن یک انسان بوده یا یک ماشین، یکسان و مخرب خواهد بود.

آغاز سال تحصیلی فرصتی بسیار مغتنم است تا مجموعه کامل دارایی‌های هویتیِ دانشگاه‌ها و مدارس، اعم از انسانی و غیرانسانی، بازبینی شود؛ هویت‌هایی که دیگر نیازی به آنها نیست حذف شوند و مجوزهای دسترسی موارد باقی‌مانده به‌دقت محدود و محکم‌کاری شود.

راهکارهای تیم‌های فناوری اطلاعات برای مهار خطرات

برای اغلب مراکز آموزشی، اصول بنیادین مدیریت کاربران انسانی تا حدودی مشخص و مهارپذیر است. شکاف حیاتی و آسیب‌پذیر، نبود دید شفاف و حکمرانی مؤثر بر هویت‌های غیرانسانی است که موتور محرک فناوری‌های آموزشی مدرن هستند؛ از حساب‌های سرویس و توکن‌های API گرفته تا گواهی‌های ماشینی و ایجنت‌های هوش مصنوعی که با هر اتصال نرم‌افزاری تازه قارچ‌گونه تکثیر می‌شوند. تیم‌های امنیتی با اجرای گام‌های زیر می‌توانند امنیت هویت‌های غیرانسانی و انسانی را هم‌زمان تأمین کنند.

فعال‌سازی احراز هویت چندعاملی (MFA)

با آغاز ترم تحصیلی جدید، سازمان‌ها باید اطمینان حاصل کنند که احراز هویت چندعاملی (MFA) برای تمام حساب‌های کاربری اساتید، کارکنان و دانشجویان اجباری شده و کاربران تازه از همان لحظه ایجاد حساب به‌طور پیش‌فرض به این پروتکل ملزم شوند. احراز هویت چندعاملی همچنان نخستین و اساسی‌ترین خط دفاعی در برابر حملات سرقت اعتبارنامه به شمار می‌رود.

حسابرسی و بازبینی دسترسی‌های سطح بالا (ممتاز)

بسیاری از حساب‌های کاربری دسترسی‌های ممتاز و سطح بالایی فراتر از نیاز واقعی نقش خود دریافت می‌کنند. مجوزهای دسترسی باید هم برای کاربران انسانی و هم برای هویت‌های غیرانسانی با دقت ممیزی و بازبینی شوند. این اقدام شامل لغو دسترسی‌های کارمندان و دانشجویان فارغ‌التحصیل‌شده، غیرفعال کردن حساب‌های سرویس منقضی‌شده و حذف مجوزهای مدیریتی (Administrative) غیرضروری است.

استقرار نرم‌افزارهای سازمانی مدیریت گذرواژه

امنیت گذرواژه‌ها همچنان یکی از پیچیده‌ترین گره‌های امنیتی پیش روی تیم‌های فناوری است. برنامه‌های آموزشی و آگاهی‌بخشی گرچه دانش ساخت گذرواژه‌های قدرتمند را در اختیار دانشجویان و اساتید قرار می‌دهند، اما تبدیل این دانش به رفتار عملی کار دشواری است؛ چراکه استفاده تکراری از گذرواژه‌ها، یادداشت کردن آنها روی کاغذ یا ذخیره ناامن در مرورگرها رفتاری بسیار رایج است. برنامه‌های سازمانی مدیریت گذرواژه این فاصله را از میان برمی‌دارند و امکان تولید و ذخیره‌سازی امن اعتبارنامه‌های قوی و اختصاصی را فراهم می‌کنند.

ایجاد فهرست جامع دارایی‌های هویت غیرانسانی

چیزی را که نمی‌بینید، نمی‌توانید ایمن کنید. مراکز آموزشی باید تمام حساب‌های کاربری سرویس، کلیدهای API، گواهی‌های ماشینی، هویت‌های ابری و ایجنت‌های هوش مصنوعی را فهرست‌بندی و ثبت کنند. تعیین دقیق مالکیت هر شناسه و مستندسازی دسترسی‌های اختصاص‌یافته به آن، گامی اساسی در این مسیر است.

تدوین سیاست‌های دوره‌ای تعویض اعتبارنامه‌ها

تعیین برنامه‌های دوره‌ای و خودکار برای تغییر و نوسازی اعتبارنامه‌های هویتی ماشین‌ها ضرورتی انکارناپذیر است؛ به‌ویژه برای ایجنت‌های هوش مصنوعی و افزونه‌های فناوری آموزشیِ شخص ثالث که هم‌زمان با سال تحصیلی جدید اضافه شده‌اند. نفوذ گسترده به سامانه مدیریت یادگیری Canvas که در آوریل ۲۰۲۶ گزارش شد و نزدیک به ۹ هزار مؤسسه آموزشی را در سطح جهان تحت تأثیر قرار داد، هشداری آشکار بود که نشان داد اعتبارنامه‌های تأمین‌کنندگان شخص ثالث نیز به همان اندازه حساب‌های داخلی نیازمند انضباط سخت‌گیرانه در تعویض دوره‌ای هستند.

دسترسی‌های شخص ثالث باید به‌طور منظم پایش شوند و تیم‌های امنیتی ملزم هستند استانداردهای امنیتی تمام شرکا و تأمین‌کنندگان خدمات فعلی و بالقوه را زیر ذره‌بین بگذارند.

به‌روزرسانی دوره‌های آموزشی کارکنان

آموزش‌های آگاهی‌بخشی امنیتی باید همگام با تحولات فضای تهدید به‌روز شوند؛ به‌ویژه در رابطه با فیشینگ که پیام‌های تولیدشده با هوش مصنوعی در آن عملاً از پیام‌های رسمی و معتبر سازمانی تمیزناپذیرند. کارکنان و اساتید باید بیاموزند که در مواجهه با درخواست‌های غیرعادی، به جای اتکا به نشانه‌های ظاهری و بصری، اصالت پیام را از کانال‌های مستقل بررسی و تأیید کنند.

پیش‌دستی در برابر ترافیک پرمخاطره آغاز سال

تب‌وتاب آغاز سال تحصیلی همواره تیم‌های فناوری اطلاعات را زیر فشار کاری مضاعف قرار می‌دهد، اما این روال پرفشار نباید به روزنه‌ای باز برای نفوذ مهاجمان بدل شود. هم‌زمان با شروع سال تحصیلی جدید، چتر امنیتی مؤسسه‌های آموزشی باید فراتر از نام‌نویسی سنتی دانشجویان و کارکنان گسترده شود و درک عمیقی از تک‌تک هویت‌های دارای دسترسی به داده‌ها و سیستم‌های حیاتی را در بر بگیرد.

تیم‌های فناوری اطلاعات با الزام احراز هویت سرسختانه، محدودسازی دسترسی‌های ممتاز، ارتقای سلامت اعتبارنامه‌ها و دستیابی به دید کامل بر جمعیت روزافزون هویت‌های غیرانسانی، می‌توانند ریسک آسیب‌پذیری و نفوذ سایبری به زیرساخت‌های خود را به شکلی چشمگیر کاهش دهند.

امنیت سایبری باید به عنوان یک فرایند انضباطی پیوسته و پایدار نگریسته شود، نه صرفاً چک‌لیستی تشریفاتی برای ایام بازگشایی مدارس و دانشگاه‌ها. تضمین اینکه هر هویت انسانی و ماشینی تنها به دسترسی مناسب، با هدفی مشخص و صرفاً تا زمانی که واقعاً نیاز است مجهز باشد، شرط بقا و ایمنی محیط‌های آموزشی امروز است.