Rekomendacje dotyczące zabezpieczeń technicznych platform e-learning open source zgodne z Ustawą o krajowym systemie cyberbezpieczeństwa

Zgodnie z Ustawą o krajowym systemie cyberbezpieczeństwa, platformy e-learningowe wykorzystywane przez publiczne instytucje edukacyjne mogą być traktowane jako usługi cyfrowe, co wiąże się z określonymi obowiązkami w zakresie bezpieczeństwa [⁶⁵. Instytucje te powinny wdrożyć środki techniczne i organizacyjne zapewniające odpowiedni poziom cyberbezpieczeństwa, proporcjonalny do oszacowanego ryzyka [¹⁷.

Do kluczowych rekomendacji technicznych zgodnych z ustawą należą:

• Szyfrowanie danych: Zastosowanie protokołu SSL/TLS w celu zabezpieczenia komunikacji między użytkownikami a platformą, zgodnie z ogólnymi najlepszymi praktykami bezpieczeństwa IT.
• Silne uwierzytelnianie: Wdrożenie mechanizmów silnego uwierzytelniania użytkowników, takich jak Single Sign-On (SSO) oraz wymuszanie stosowania złożonych haseł.
• Zarządzanie rolami i uprawnieniami: Precyzyjne zdefiniowanie i zarządzanie rolami i uprawnieniami użytkowników w celu ograniczenia dostępu do wrażliwych danych i funkcji platformy.
• Regularne aktualizacje i łatki bezpieczeństwa: Systematyczne instalowanie aktualizacji platformy Moodle oraz wszystkich wtyczek i rozszerzeń w celu załatania znanych luk bezpieczeństwa.
• Ciągłe monitorowanie: Wdrożenie systemów monitorowania aktywności na platformie w celu wykrywania podejrzanych zachowań i potencjalnych ataków w czasie rzeczywistym ⁴⁷.
• Regularne tworzenie kopii zapasowych: Wykonywanie regularnych i bezpiecznych kopii zapasowych danych platformy, umożliwiających szybkie przywrócenie systemu w przypadku awarii lub incydentu bezpieczeństwa.
• Zabezpieczenie przed atakami DDoS: Wdrożenie mechanizmów ochrony przed atakami typu Distributed Denial of Service (DDoS), które mogą zakłócić dostępność platformy.
• Kontrola dostępu fizycznego i logicznego: Zabezpieczenie serwerów hostujących platformę zarówno fizycznie, jak i logicznie, poprzez ograniczenie dostępu tylko do upoważnionych osób.
• Audyty bezpieczeństwa: Regularne przeprowadzanie audytów bezpieczeństwa platformy, w tym testów penetracyjnych, w celu identyfikacji potencjalnych słabych punktów i ich eliminacji ¹⁷.

Zgodność z Ustawą o KSC wymaga również od instytucji edukacyjnych uwzględnienia bezpieczeństwa łańcucha dostaw, co oznacza konieczność weryfikacji bezpieczeństwa wtyczek i integracji z zewnętrznymi systemami wykorzystywanymi przez platformę e-learningową. Nie można także zapominać o obowiązku informowania użytkowników platformy o zagrożeniach cyberbezpieczeństwa i promowania bezpiecznych praktyk korzystania z systemów online ³⁰.