L’attaque contre Canvas touche des établissements d’enseignement et des données d’élèves

Ce qui s’est passé

Instructure, l’entreprise qui développe la plateforme éducative Canvas, a signalé un incident ayant affecté l’accès au service et des informations appartenant aux établissements d’enseignement qui l’utilisent. Reuters a rapporté que des milliers d’organisations dépendant de la plateforme pour leurs activités quotidiennes étaient concernées.

S’agissant d’un service SaaS largement utilisé par les établissements d’enseignement, un seul incident chez le fournisseur peut se répercuter simultanément sur de nombreux établissements différents, chacun disposant de son propre volume de données sur les élèves, les enseignants et le personnel administratif.

Les enseignements à tirer de la dépendance à un SaaS éducatif ou de gestion

Les services cloud partagés par de nombreuses organisations concentrent un volume de données bien supérieur à celui que chaque établissement gérerait individuellement, ce qui en fait des cibles de grande valeur pour les attaquants et un point de défaillance unique pour tous leurs clients à la fois.

Un établissement utilisant ce type de plateforme devrait savoir, avant qu’un incident ne survienne, quelles données il confie au fournisseur, comment les exporter s’il doit changer de service et quelle solution de continuité il peut mettre en œuvre si l’accès devient temporairement indisponible.

Les points à vérifier

Les vérifications utiles pour toute organisation dépendant d’un SaaS contenant des données sensibles:

• Quelles données sur les élèves, les familles ou le personnel sont partagées avec le fournisseur et à quelles fins.
• Si le contrat avec le fournisseur précise les délais de notification en cas d’incident.
• Comment les données seraient exportées s’il fallait migrer en urgence vers une autre plateforme.
• Quelles activités pédagogiques ou administratives pourraient se poursuivre si le service restait inaccessible plusieurs jours.

Questions fréquentes

¿Combien d’établissements ont été touchés?

Reuters a rapporté que des milliers d’organisations utilisant la plateforme Canvas étaient concernées, bien que l’impact exact ait varié selon les établissements.

¿Quelles données sont généralement menacées dans ce type d’incident?

Informations d’accès à la plateforme et données appartenant aux établissements d’enseignement, notamment celles des élèves et du personnel.

¿Que peut faire un établissement d’enseignement pour réduire son exposition?

Identifier les données partagées avec chaque fournisseur SaaS, imposer des délais de notification contractuels et prévoir comment assurer la continuité des activités en cas de défaillance du service.