L'atac a Canvas afecta institucions educatives i dades d'alumnes

Què va passar

Instructure, l'empresa desenvolupadora de la plataforma educativa Canvas, va informar d'un incident que va afectar l'accés al servei i informació pertanyent a institucions educatives que l'utilitzen. Reuters va recollir que l'abast arribava a milers d'organitzacions que depenen de la plataforma per a la seva activitat diària.

En tractar-se d'un servei SaaS àmpliament utilitzat per centres educatius, un únic incident en el proveïdor pot repercutir simultàniament en moltes institucions diferents, cadascuna amb el seu propi volum de dades d'alumnes, professors i personal administratiu.

Què ensenya sobre dependre d'un SaaS educatiu o de gestió

Els serveis al núvol compartits per moltes organitzacions concentren un volum de dades molt superior al que gestionaria cada institució per separat, cosa que els converteix en objectius d'alt valor per als atacants i en un punt únic de fallada per a tots els seus clients alhora.

Una institució que faci servir aquest tipus de plataforma hauria de saber, abans que passi un incident, quines dades lliura al proveïdor, com les pot exportar si necessita canviar de servei i quina alternativa operativa té si l'accés queda temporalment inaccessible.

Què convé revisar

Comprovacions útils per a qualsevol organització que depengui d'un SaaS amb dades sensibles:

• Quines dades d'alumnes, famílies o personal es comparteixen amb el proveïdor i amb quina finalitat.
• Si el contracte amb el proveïdor especifica terminis de notificació en cas d'incident.
• Com s'exportarien les dades si calgués migrar a una altra plataforma amb urgència.
• Quina activitat docent o administrativa podria continuar si el servei queda inaccessible diversos dies.

Preguntes freqüents

Quantes institucions es van veure afectades?

Reuters va recollir un abast de milers d'organitzacions que utilitzen la plataforma Canvas, tot i que l'impacte exacte va variar per institució.

Quines dades solen estar en risc en aquest tipus d'incident?

Informació d'accés a la plataforma i dades pertanyents a les institucions educatives, com les d'alumnes i personal.

Què pot fer un centre educatiu per reduir la seva exposició?

Conèixer quines dades comparteix amb cada proveïdor SaaS, exigir terminis de notificació per contracte i tenir previst com continuar operant si el servei falla.