Lühidalt: Moodle'i turvalisuses koolides on mängus laste ja noorte andmed, hinded ja käimasolev õppetöö. Selgitage kõigepealt välja, kes teie Moodle'it haldab: liidumaa, kooli pidaja, teenusepakkuja või pühendunud õpetaja. Sellest sõltub, kes PHP-d paikab, uuesti käivitab ja tõendi esitab.
Millised PHP süsteemid koolides ja haridusasutustes töötavad
Keskmes on sageli õppeplatvorm Moodle. Lisaks tulevad kooli koduleht, sageli WordPressis või Joomlas, asenduskavade tööriistad, lapsevanemate kirjade ja registreerimisvormid, ruumide ja seadmete broneerimissüsteemid ning failihoidlad nagu Nextcloud. Peaaegu kõik see töötab PHP peal.
Eraviisilistel koolitusasutustel, rahvaülikoolidel (Volkshochschule) ja täienduskoolituse pakkujatel lisanduvad kursuste broneerimine, osalejate haldus ja veebieksamid. Siin on õppeplatvorm sageli otseselt seotud arvete esitamise ja osalejate andmetega.
Millised andmed Moodle'is ja teistes süsteemides asuvad
Õppeplatvorm sisaldab rohkem kui töölehti: õpilaste nimed ja klassid, esitatud tööd, hinded ja tagasiside, foorumipostitused, õpetajate ja õppijate vahelised sõnumid, koolitusasutuste puhul ka osalemistõendid ja eksamitulemused. Üksikjuhtudel leidub viiteid erivajadustele või terviseprobleemidele, mis võivad kuuluda IKÜM art 9 järgi eriliiki andmete hulka.
Puudutatud on valdavalt alaealised. See suurendab andmelekke riski, sest lapsed ei suuda tagajärgedega, nagu sihitud ligilähenemine või häbistamine, ise vastu võidelda. Teavitamiskohustuste puhul kehtib IKÜM-i 72-tunnine tähtaeg, hinnangu annab pädev andmekaitsespetsialist.
Kool, Moodle ja turvalisus: vastutuse küsimus
| Töömudel | Kes PHP-d paikab | Mida kool peaks kontrollima |
|---|---|---|
| Tsentraalselt liidumaa või liidumaa instituudi poolt | Liidumaa haldaja | kooli oma lisasüsteemid |
| Kooli pidaja või meediakeskuse kaudu | Pidaja IT | nõuda kirjalikku kinnitust |
| Väline teenusepakkuja | Teenusepakkuja lepingu järgi | kas PHP on lepingus sõnaselgelt kirjas |
| Oma server, mida hooldab õpetaja | kool ise | aeg, teadmised ja asendus |
Viimane mudel on levinum, kui paljud arvavad. Pühendunud õpetaja on Moodle'i aastaid tagasi üles seadnud ja hooldab seda kõrvalt. Kriitilise turvaaugu korral puuduvad siis aeg, asendus ja sageli ka õigused kiireks tegutsemiseks.
Moodle'i uuendus PHP2Shelli ei sulge. Turvaauk on parandatud alles versioonidega PHP 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või kinnitatud backportiga ja alles pärast kõigi PHP protsesside taaskäivitust.
Mida tähendab rike õppetööle ja eksamitele
Kui Moodle kukub välja, puuduvad materjalid ja esitamisvõimalused. Eksamiperioodidel või vahetult enne tunnistusi on see eriti ebameeldiv. Sellegipoolest kehtib: parem platvorm mõneks tunniks korrapäraselt välja lülitada kui lasta see paigata jätmata edasi töötada. Kompromiteeritud süsteem võib esitatud töid võltsida või õpetajate kontosid üle võtta.
Planeerige seetõttu lihtne asenduslahendus, näiteks esitamine mõne teise, mõjutamata süsteemi kaudu, ning teavitage õpetajaid, õppijaid ja lapsevanemaid põhjusest lühidalt.
Pärast puhastamist tasub kontosid üle vaadata. Koolidel on palju laiendatud õigustega kasutajaid: õpetajad, praktikandid-õpetajad (Referendare), ainekomisjonide juhid, endised kolleegid, kelle ligipääsusid pole kunagi kustutatud. Hüljatud õpetajaõigustega kontod on mugav tee platvormi tagasi. Võrdlus kooli praeguse personalinimekirjaga sulgeb selle ukse ning administraatoriõigustega kontod peaksid olema piiratud väheste isikutega.
Koolitusasutuste ja täienduskoolituse eripärad
Eraviisilised koolitusasutused, rahvaülikoolid ja täienduskoolituse pakkujad töötavad sageli täiskasvanud osalejatega, kuid rohkemate majanduslike andmetega: kursuste broneeringud koos makseandmetega, arved ettevõtetest klientidele, toetatud meetmete dokumendid, eksamitulemused ja sertifikaadid. Õppeplatvorm on siin sageli ühendatud broneerimissüsteemi ja raamatupidamisega.
Rünne võib seetõttu puudutada ka sertifikaate ja eksamitulemusi. Kes saab platvormis andmeid muuta, saab võltsida sooritusmärkeid või väljastada tõendeid, mida kunagi ei omandatud. Laske pärast intsidenti kontrollida, kas hindeid ja sertifikaate on tagantjärele muudetud, ning võrrelge neid oma eksamidokumentidega.
Esimesed sammud koolijuhile ja pidajale
- Selgitage välja, kes Moodle'it, kodulehte ja pilve haldab, ning laske igaühe paigatud seis ja taaskäivitus kirjalikult kinnitada.
- Kinnitamata süsteemid viige hooldusrežiimi või võtke võrgust maha.
- Laske logid alates 20.10.2026 kindlustada.
- Kontrollige administraatorikontosid: kas on uusi või tundmatuid administraatoreid?
- Teavitage andmekaitsespetsialisti ja kooli pidajat.
Kuidas PHP SOS konkreetselt aitab?
- Lepime kokku koolijuhi, pidaja ja hooldava õpetajaga ning selgitame välja, kes millise süsteemi eest vastutab.
- PHP2Shelli kohese abi kaudu paigame PHP, käivitame kõik tööprotsessid uuesti ja tõendame tulemuse.
- Kontrollime Moodle'i andmekataloogi, andmebaasi ja administraatorikontosid rünnaku jälgede suhtes.
- Seejärel võtame üle serveri karastamise, et platvorm ei sõltuks enam ühest isikust.
Korduma kippuvad küsimused
Meie Moodle töötab liidumaa kaudu. Kas peame midagi tegema?
Kui Moodle'i haldab tsentraalselt liidumaa või liidumaa instituut, on paik haldaja ülesanne. Kool peaks siiski kontrollima, kas lisaks on olemas ka oma süsteeme, näiteks kooli koduleht või ise hallatav pilv. Need on enamasti kooli või kooli pidaja vastutusel.
Kas Moodle'i uuendusest piisab PHP2Shelli vastu?
Ei. PHP2Shell puudutab PHP-d ennast, mille peal Moodle töötab. Vaja on paigatud PHP-d ja kõigi PHP protsesside taaskäivitust. Millist PHP versiooni teie Moodle'i versioon toetab, kontrollite süsteeminõuetest moodle.org-is.
Kes vastutab koolis andmeleke korral?
Vastutus jaguneb olenevalt liidumaast kooli, koolijuhi ja kooli pidaja vahel. Teavitamiskohustuste hindamisel on esimene aadress pädev andmekaitsespetsialist. Vastutus tuleks kirjalikult selgeks teha enne intsidenti.