O ataque ao Canvas afeta instituições de ensino e dados de alunos

O que aconteceu

A Instructure, a empresa responsável pelo desenvolvimento da plataforma educativa Canvas, comunicou um incidente que afetou o acesso ao serviço e informação pertencente às instituições de ensino que o utilizam. A Reuters noticiou que o incidente abrangia milhares de organizações que dependem da plataforma para a sua atividade diária.

Por se tratar de um serviço SaaS amplamente utilizado por estabelecimentos de ensino, um único incidente no fornecedor pode afetar simultaneamente muitas instituições distintas, cada uma com o seu próprio volume de dados de alunos, professores e pessoal administrativo.

O que ensina sobre a dependência de um SaaS educativo ou de gestão

Os serviços na nuvem partilhados por muitas organizações concentram um volume de dados muito superior ao que cada instituição geriria individualmente, o que os torna alvos de elevado valor para os atacantes e um ponto único de falha para todos os seus clientes em simultâneo.

Uma instituição que utilize este tipo de plataforma deve saber, antes de ocorrer um incidente, que dados entrega ao fornecedor, como os pode exportar se precisar de mudar de serviço e que alternativa operacional tem se o acesso ficar temporariamente indisponível.

O que convém rever

Verificações úteis para qualquer organização que dependa de um SaaS com dados sensíveis:

• Que dados de alunos, famílias ou pessoal são partilhados com o fornecedor e com que finalidade.
• Se o contrato com o fornecedor especifica prazos de notificação em caso de incidente.
• Como seriam exportados os dados se fosse necessário migrar para outra plataforma com urgência.
• Que atividade letiva ou administrativa poderia continuar se o serviço ficasse inacessível durante vários dias.

Perguntas frequentes

¿Quantas instituições foram afetadas?

A Reuters noticiou que o incidente abrangia milhares de organizações que utilizam a plataforma Canvas, embora o impacto exato tenha variado de instituição para instituição.

¿Que dados costumam estar em risco neste tipo de incidente?

Informações de acesso à plataforma e dados pertencentes às instituições de ensino, como os de alunos e funcionários.

¿O que pode fazer uma instituição de ensino para reduzir a sua exposição?

Saber que dados partilha com cada fornecedor SaaS, exigir prazos de notificação contratuais e planear como manter a atividade em caso de falha do serviço.