Isu Mobile Guardian: Protokol dikuat kuasa namun lebih banyak perkara boleh dilakukan untuk siasat proses, kata pakar

SINGAPURA: Meskipun terdapat proses untuk menyaring dan menguji perisian pihak ketiga, agensi pemerintah boleh menyiasat standard Mobile Guardian dengan lebih teliti, kata pakar keselamatan siber.

Awal minggu ini, Kementerian Pendidikan (MOE) mengumumkan bahawa aplikasi Mobile Guardian akan dipadam daripada semua alat pembelajaran peribadi pelajar, selepas pelanggaran keselamatan siber global menjejas kira-kira 13,000 pelajar sekolah menengah dan 26 sekolah menengah di Singapura.

Sebagai huraian pengurusan peranti mudah alih, tujuan utamanya adalah untuk mengawal dan mengurus peranti mudah alih dari jauh.

Ia mempunyai "kawalan penuh" ke atas peranti dan terdapat tahap kepercayaan yang tinggi kepada perisian dan pelayan digunakan untuk mengurus pelanggan, kata Encik Kevin Reed, ketua pegawai keselamatan maklumat syarikat keselamatan siber Acronis.

Disebabkan pelayan ditempatkan online, ia mewujudkan peluang untuk menyerang peranti yang diuruskan melalui perkhidmatan online, tambahnya.

KELEMAHAN KESELAMATAN DITONJOLKAN

Dalam kemas kini pada Rabu (7 Ogos), Mobile Guardian memohon maaf atas kesulitan yang tercetus akibat insiden yang berlaku. Ia juga menjelaskan bahawa penggodam juga cuba untuk memadam pendaftaran peranti iOS dan ChromeOS, namun ia hanya berjaya menggodam "sejumlah kecil" peranti iOS.

Dalam laporan awalnya, Moblie Guardian menyatakan bahawa kedua-dua peranti iOS dan ChromeOS diakses oleh penggodam.

Pakar keselamatan siber yang bercakap dengan Mediacorp berkata bahawa kenyataan yang dikemas kini tidak memberi penerangan yang cukup tentang punca isu tersebut.

Berdasarkan penjelasan Mobile Guardian, pakar mengatakan bahawa kemungkinan besar pihak yang tidak mempunyai akses kepada platformnya, di mana peranti pelajar didaftarkan. Penggodam berjaya memadam pendaftaran beberapa peranti iOS dan mengawalnya, sehingga membenarkan mereka memadam peranti dari jauh.

Peranti ChromeOS tidak terjejas meskipun penggodam cuba memadam pendaftaran daripada platform itu, kata pakar.

Awal minggu ini, seorang individu di Reddit mendakwa bahawa dia pernah memaklumkan kepada MOE tentang kelemahan pada keselamatan Mobile Guardian, dan memuat naik tangkapan skrin e-mel bermula daripada 30 Mei.

Tangkapan skrin itu juga menunjukkan jawapan daripada Jabatan Teknologi Maklumat MOE. Pada 6 Jun, kementerian itu menyatakan ia sudah mengemukakan isu tersebut kepada Mobile Guardian dan sedang menilai semula "pendekatan keselamatan sibernya".

Pada 25 Jun, MOE menyatakan ia sudah menyemak laporan kelemahan keselamatan individu itu, dan "mengesahkan bahawa ia tidak lagi menjadi satu kebimbangan".

Sekiranya maklum balas daripada para pengguna kepada MOE dikongsi dengan GovTech dan Agensi Keselamatan Siber Singapura (CSA), "tindakan yang tepat" adalah untuk menjalankan siasatan menyeluruh ke atas standard dan proses keselamatan vendor, kata Cik Camellia Chan, Ketua Pegawai Eksekutif syarikat keselamatan siber Flexxon.

PROTOKOL TELITI DILAKSANAKAN

Pakar keselamatan siber menekankan bahawa agensi pemerintah mungkin menjalankan langkah-langkah yang diperlukan, sebelum mengambil keputusan untuk menandatangani kontrak dengan Mobile Guardian.

Mobile Guardian mempunyai ISO27001, iaitu "sijil standard emas" keselamatan siber bagi pertubuhan, dan SOC-2 Jenis 2, iaitu sijil biasa untuk mengesahkan kawalan keselamatan data bagi pertubuhan, kata pengasas syarikat latihan keselamatan siber Practical Cyber ​​Ethan Seow.

Kedua-dua sijil itu biasanya digunakan sebagai penanda aras bagi pemerintah dan syarikat berbilang negara untuk menilai keselamatan penyedia perkhidmatan dan vendor, katanya.

Memandangkan Mobile Guardian mempunyai kedua-dua sijil tersebut, "jelas" bahawa MOE mengikut syarat munasabah dan yang dijangkakan daripada projek sedemikian, kata Encik Seow.

KEBERGANTUNGAN KEPADA TEKNOLOGI

Insiden tersebut menonjolkan risiko dikaitkan dengan huraian digital pihak ketiga yang semakin disepadukan dengan sektor penting seperti pendidikan, kata Encik Reuben Koh, pengarah teknologi dan strategi keselamatan di Akamai Technologies.

Serangan siber terhadap penyedia perkhidmatan seperti Mobile Guardian semakin meningkat kerana syarikat sedemikian melayani jumlah pelanggan yang besar di seluruh dunia, dengan jumlah mangsa juga bertambah secara ketara, kata.

Pakar bersetuju bahawa pembelajaran online akan sentiasa dijalankan, dan pelajar, guru serta ibu bapa harus mengamalkan langkah-langkah keselamatan digital, untuk mengurangkan gangguan disebabkan insiden serupa.

Pihak sekolah memerlukan prosedur salinan dan pemulihan untuk mendapatkan semula kerja-kerja pelajar, serta rancangan tindak balas yang jelas dan ringkas untuk menangani gangguan tersebut, tambahnya.

Menurut Cik Chan, sekolah boleh menggunakan sistem salinan yang pelbagai untuk memastikan data yang disimpan selamat dan mudah diakses, meskipun sistem utama digodam.

Pelajar yang menyimpan nota dan kerja rumah mereka di komputer yang dikongsi di rumah juga boleh mempertimbangkan untuk menyimpannya di peranti simpanan luaran dan sistem awan disediakan oleh sekolah. Mereka juga boleh menyimpan fail nota dalam bentuk salinan keras, sekiranya sebarang kaedah yang digunakan gagal berfungsi.