Prawie 25 tysięcy wykradzionych haseł do kont pracowników, studentów i rektorów polskich uczelni krąży dziś w sieci. W infrastrukturze zaledwie 50 przebadanych szkół wyższych znaleziono blisko 60 tysięcy luk bezpieczeństwa - ponad 37 tysięcy z nich to podatności wysokiego lub krytycznego ryzyka. Te liczby, pochodzące z najnowszej analizy przygotowanej przez firmę ResilientX na zlecenie Grant Thornton, każą inaczej spojrzeć na temat cyberbezpieczeństwa w szkolnictwie wyższym: to nie kwestia pojedynczych, głośnych ataków, lecz problem o charakterze systemowym.
Skala, którą trudno zignorować
Z danych wynika, że podatności infrastrukturalne odpowiadają za ponad 98% wszystkich wykrytych luk bezpieczeństwa. Największe ryzyko leży więc nie w pojedynczym, spektakularnym ataku, ale w stanie utrzymania systemów, serwerów i usług, z których codziennie korzystają uczelnie. Niepokojący jest też fakt, że wśród wycieków znalazły się 32 przypadki powiązane z kontami rektorów, a więc tymi o najwyższym poziomie dostępu i największym potencjalnym znaczeniu w razie przejęcia.
Ryzyko rośnie wraz ze skalą działalności instytucji - największe uniwersytety i politechniki odnotowują zwykle najwięcej wycieków i podatności, co jest naturalną konsekwencją liczby użytkowników oraz złożoności środowiska IT. Nie oznacza to jednak, że mniejsze uczelnie mogą czuć się bezpieczne. Poważne luki występują również w placówkach o znacznie skromniejszej skali, problem nie dotyczy więc wyłącznie największych graczy na rynku edukacyjnym.
Dlaczego uczelnie są atrakcyjnym celem?
Szkoły wyższe gromadzą i przetwarzają ogromne ilości zróżnicowanych danych: dane osobowe studentów, kandydatów i pracowników, informacje finansowe, dokumentację przebiegu studiów, wyniki badań naukowych oraz kontakty do partnerów biznesowych. Dla cyberprzestępców to zasób, który można wykorzystać zarówno do wyłudzeń, jak i działań o charakterze szpiegowskim czy sabotażowym. W ciągu ostatnich lat doszedł do tego jeszcze jeden czynnik - intensywna transformacja cyfrowa. Rekrutacja, obsługa toku studiów, wydawanie dokumentów czy komunikacja ze studentami odbywają się dziś niemal wyłącznie w środowisku cyfrowym, co zwiększa powierzchnię ataku i liczbę potencjalnych punktów wejścia dla atakujących.
W debacie publicznej najwięcej uwagi poświęca się zwykle ryzyku wycieku danych. Równie poważnym, choć rzadziej podnoszonym problemem, jest jednak czasowa utrata dostępu do kluczowych systemów. Trudno dziś wyobrazić sobie sprawne funkcjonowanie uczelni bez elektronicznej rekrutacji, systemów dziekanatowych, platform e-learningowych czy narzędzi komunikacji ze studentami. Skuteczny atak może sparaliżować procesy administracyjne i dydaktyczne, a w okresach szczególnie intensywnej pracy - na przykład podczas rekrutacji czy sesji egzaminacyjnej - wywołać poważne konsekwencje organizacyjne.
Łańcuch dostawców słabym punktem
Analiza Grant Thornton i ResilientX zwraca uwagę, że zagrożenia dotyczą nie tylko bezpieczeństwa kont użytkowników, ale również infrastruktury IT oraz usług dostarczanych przez podmioty zewnętrzne. To istotny sygnał dla osób zarządzających cyfryzacją uczelni - bezpieczeństwo nie kończy się na własnych systemach, lecz obejmuje cały ekosystem dostawców, integracji i usług chmurowych, z których korzysta dana instytucja. Zarządzanie ryzykiem dostawców powinno stać się stałym elementem polityki bezpieczeństwa, a nie kwestią rozpatrywaną dopiero po wystąpieniu incydentu.
Cyberbezpieczeństwo to nie tylko kwestia techniczna
Z perspektywy rektorów i kanclerzy kluczowe pytanie nie brzmi już, czy uczelnia korzysta z własnych serwerów, czy z rozwiązań chmurowych. Istotniejsze jest to, czy instytucja potrafi świadomie identyfikować zagrożenia, oceniać ich potencjalny wpływ na działalność uczelni i przygotować się na sytuacje kryzysowe, zanim do nich dojdzie. Tak rozumiane zarządzanie ryzykiem obejmuje regularną inwentaryzację aktywów i podatności, wskazanie procesów o krytycznym znaczeniu dla funkcjonowania uczelni - rekrutacji, sesji egzaminacyjnej, wypłat wynagrodzeń - oraz wcześniej przygotowane scenariusze reagowania na incydent: kto podejmuje decyzje, jak komunikować się ze studentami i mediami, w jakim czasie należy przywrócić poszczególne systemy.
Dane z raportu Grant Thornton pokazują, że luki bezpieczeństwa w uczelniach kumulują się latami, zanim zostaną wykorzystane. Wspomniane ponad 37 tysięcy podatności to w praktyce lista zaległości, z którą można i należy pracować w sposób uporządkowany, a nie awaryjny. To zadanie wykraczające poza kompetencje działu IT - wymaga zaangażowania władz uczelni na poziomie strategicznym, podobnie jak zarządzanie ryzykiem finansowym czy prawnym.
W praktyce przekłada się to również na konkretne decyzje organizacyjne - część uczelni przenosi odpowiedzialność za infrastrukturę do wyspecjalizowanych podmiotów zewnętrznych, inne rozbudowują własne zespoły bezpieczeństwa. Wybór między własną infrastrukturą, chmurą a outsourcingiem jest tu jednak wtórny wobec pytania podstawowego: czy uczelnia ma spisaną i przetestowaną procedurę reagowania na incydent oraz czy wie, które z jej systemów może utracić na kilka dni bez poważnych konsekwencji, a które nie.
Nawet najlepiej zaprojektowany system zarządzania ryzykiem nie wyeliminuje zagrożenia całkowicie - w wielu przypadkach punktem wejścia dla atakujących pozostaje człowiek: kliknięcie w złośliwy link, otwarcie niebezpiecznego załącznika czy zbyt proste hasło. Skala wycieków danych logowania opisana w raporcie Grant Thornton dobrze to ilustruje - to efekt wielu pojedynczych ludzkich błędów, a nie wyłącznie ataków na infrastrukturę. Świadomość zagrożeń wśród pracowników i studentów powinna być więc traktowana jako element tego samego systemu zarządzania ryzykiem.
Zarządzanie ryzykiem jako stały punkt agendy władz uczelni
Cyfryzacja
szkolnictwa wyższego będzie postępować, ponieważ oczekują tego
zarówno uczelnie, jak i sami studenci. Dane z raportu Grant Thornton
i ResilientX pokazują jednak, że tempo cyfryzacji wyprzedziło
dojrzałość uczelni w zarządzaniu związanym z nią ryzykiem.
Odpowiedzialność za to nie powinna spoczywać wyłącznie na
działach IT - to temat, który musi znaleźć stałe miejsce w
agendzie rektorów i kanclerzy, na równi z budżetem czy strategią
rozwoju uczelni. W świecie, w którym coraz więcej usług
akademickich funkcjonuje online, umiejętność świadomego
zarządzania ryzykiem cybernetycznym staje się jednym z fundamentów
sprawnego działania nowoczesnej uczelni - równie ważnym co jakość
kształcenia czy poziom prowadzonych badań.
Autor: Adam Przymusiała, prezes Akademusa, ekspert ds. systemów zarządzania uczelnią
Źródło danych: Grant Thornton / ResilientX, „Cyber(nie)bezpieczeństwo na uczelniach: niemal 25 tys. wycieków danych i 60 tys. podatności”, 23.06.2026
poleca:
