Keselamatan Koperasi Maya Selepas Kejadian Phishing

1. Pengesahan yang lemah dan dikongsi (kategori: pengesahan dan pengurusan akaun). Satu akaun 'admin' digunakan oleh lima orang, kata laluan ringkas dan berasaskan perkataan yang mudah diteka, ditulis pada papan putih dan tidak pernah ditukar. Tiada pengesahan berbilang faktor dan tiada log audit, jadi tiada cara mengetahui siapa melakukan apa.

2. Semakan kata laluan di sebelah klien (kategori: kawalan akses yang rosak). Semakan dalam JavaScript boleh dibaca melalui 'View Source' dan boleh dilangkau sepenuhnya dengan menyahdayakan JavaScript. Kata laluan sebenar mungkin turut kelihatan dalam kod. Kawalan keselamatan mesti dilaksanakan di pelayan.

3. Data pelajar boleh diakses melalui URL terus (kategori: pendedahan data / kawalan akses). Nama, kelas dan nombor telefon pelajar ialah data peribadi. Folder tanpa senarai kawalan membolehkan sesiapa yang meneka nama fail memuat turun keseluruhan senarai, dan enjin carian boleh mengindeksnya.

4. Phishing melalui WhatsApp (kategori: kejuruteraan sosial). Mesej mendakwa daripada pihak berkuasa, menawarkan insentif RM150, dan meminta rahsia pengesahan. Penyerang mengeksploitasi autoriti dan ketakutan ketinggalan, bukan kelemahan teknikal.

5. Sandaran pada medium yang sama (kategori: kesinambungan perniagaan / pemulihan bencana). Pemacu pena yang sama digunakan untuk memuat naik dan menyimpan sandaran. Jika akaun hosting disalahgunakan dan fail dipadam, penyerang juga boleh memadam sandaran kerana ia berkemungkinan masih disambung ke komputer yang terjejas. Ini melanggar prinsip 3-2-1: tiga salinan, dua media berbeza, satu di luar lokasi.

Kelemahan tambahan. Tiada pengasingan peranan (semua orang admin), tiada pengesahan integriti fail, dan tiada pelan tindak balas insiden yang diketahui oleh guru.

Keutamaan 1 - Tutup pendedahan segera (dalam 24 jam).

• Pindahkan fail pesanan keluar daripada folder awam, atau lindungi folder dengan .htaccess dan kata laluan, atau paling mudah, simpan data dalam Google Sheets yang hanya boleh diakses oleh akaun sekolah. Sebab: data peribadi pelajar sudah terdedah, dan ini risiko paling tinggi kepada individu.
• Tukar kata laluan hosting dan e-mel pemulihan serta-merta, dayakan pengesahan dua langkah pada kedua-duanya. Sebab: penyerang yang mempunyai kata laluan mungkin telah menukar soalan keselamatan atau alamat pemulihan.

Keutamaan 2 - Betulkan pengesahan.

• Jika hosting menyokong PHP, gunakan password_hash() dan password_verify() di pelayan. Jika ia hosting statik, gunakan Google Apps Script dengan Session.getActiveUser() supaya hanya akaun sekolah yang sah boleh mengakses borang dan lembaran kerja.
• Buat akaun berasingan untuk setiap ahli jawatankuasa dengan peranan berbeza: 'lihat', 'kemas kini', 'padam'. Hanya seorang pemegang 'padam'. Sebab: prinsip keistimewaan minimum mengurangkan kerosakan jika satu akaun terjejas, dan log menjadi bermakna.
• Gunakan frasa laluan panjang seperti empat perkataan rawak, simpan dalam pengurus kata laluan, dan haramkan perkongsian melalui WhatsApp atau papan putih.

Keutamaan 3 - Amalan dan sandaran.

• Sandaran automatik mingguan ke Google Drive sekolah ditambah satu salinan luar talian bulanan. Uji pemulihan sekurang-kurangnya sekali; sandaran yang tidak pernah diuji bukan sandaran.
• Tetapkan protokol pengesahan balik: sebarang permintaan kata laluan atau perubahan bank mesti disahkan melalui panggilan telefon ke nombor rasmi sekolah, bukan melalui nombor yang memberi mesej.
• Kuatkuasakan HTTPS percuma melalui penyedia sijil percuma pada domain sekolah, dan elakkan menghantar data pelajar melalui borang tanpa penyulitan.

Keutamaan 4 - Manusia. Latih semua ahli jawatankuasa selama 30 minit: tanda-tanda phishing, larangan berkongsi kata laluan, dan siapa untuk dihubungi. Penyerang menyerang orang dahulu, jadi kawalan teknikal tanpa latihan akan gagal semula.

Tanggungjawab terhadap data pelajar. Nama, kelas dan nombor telefon ialah data peribadi. Di Malaysia, Akta Perlindungan Data Peribadi 2010 menuntut data dikumpul untuk tujuan yang dinyatakan, dilindungi daripada akses tanpa kebenaran, dan tidak disimpan lebih lama daripada perlu. Sistem ini mengumpul nombor telefon sedangkan pesanan alat tulis tidak memerlukannya. Prinsip pengumpulan minimum mencadangkan medan itu digugurkan atau dijadikan pilihan. Pihak sekolah juga wajar memberitahu pelajar dan ibu bapa tentang data yang dikumpul dan siapa yang boleh mengaksesnya.

Tanggungjawab selepas insiden. Apabila data terdedah atau dipadam, sekolah perlu merekodkan apa yang berlaku, bila dikesan, dan apa yang dilakukan. Bukti seperti nombor WhatsApp, tangkapan skrin dan log akses perlu disimpan sebelum apa-apa dipadam. Menyembunyikan insiden untuk mengelakkan malu adalah tidak beretika kerana ia membiarkan mangsa (pelajar) tidak tahu data mereka terjejas.

Penilaian terhadap guru. Guru itu menjadi mangsa kejuruteraan sosial, tetapi turut melanggar amalan asas dengan berkongsi kata laluan melalui saluran peribadi. Reaksi yang wajar ialah siasatan yang adil dan pemulihan sistem, bukan menyalahkan individu secara automatik. Namun, jika terbukti kecuaian berulang selepas latihan, tindakan disiplin mengikut prosedur sekolah adalah wajar. Prinsipnya: kesalahan manusia dijangka berlaku; reka bentuk sistem yang bergantung pada satu kata laluan dikongsi itulah kelemahan utama.

Etika dalam siasatan. Pelajar tidak sepatutnya dibenarkan 'menguji' sistem dengan cuba mengakses akaun orang lain tanpa kebenaran bertulis, walaupun niatnya baik. Sebaliknya, ujian penembusan hendaklah dilakukan dengan kebenaran guru besar, dalam persekitaran sandaran, dan dilaporkan secara sulit. Jika pelajar menemui kelemahan, mereka wajar diberi saluran pelaporan yang selamat dan diiktiraf, bukan dikenakan tindakan.

Akauntabiliti. Akhir sekali, sekolah perlu menetapkan pemilik data yang jelas - seorang guru dan seorang pelajar - supaya apabila sesuatu berlaku, ada orang yang bertanggungjawab untuk bertindak dan melapor, bukan semua orang menganggap orang lain sudah melakukannya.