Bảo mật cổng thông tin quản lý điểm và dữ liệu học sinh

Cổng thông tin quản lý điểm là nơi tập trung dữ liệu nhạy cảm nhất của một nhà trường: điểm số, hạnh kiểm, họ tên, ngày sinh, số điện thoại phụ huynh, đôi khi cả địa chỉ nhà. Bảo mật hệ thống này không chỉ là chuyện của bộ phận công nghệ thông tin; nó phụ thuộc vào cách giáo viên đăng nhập, cách ban giám hiệu phân quyền và cách nhà trường chọn, vận hành nhà cung cấp phần mềm.

Bài viết dành cho cán bộ phụ trách CNTT ở trường phổ thông, cao đẳng, đại học và cả giáo viên chủ nhiệm muốn hiểu mình cần làm gì để dữ liệu học sinh không bị sửa đổi hay lộ ra ngoài.

Những rủi ro thực tế mà cổng điểm phải đối mặt

Khi nghe "bị hack cổng điểm", nhiều người nghĩ đến kẻ tấn công chuyên nghiệp ở đâu đó. Thực tế, các nguy cơ thường gần gũi hơn:

• Lộ mật khẩu giáo viên: mật khẩu ghi trên giấy dán cạnh màn hình, lưu sẵn trên máy phòng giáo viên, hoặc bị học sinh nhìn trộm khi giáo viên nhập điểm trên lớp.
• Email lừa đảo: một email giả mạo thông báo "cập nhật tài khoản hệ thống" dẫn đến trang đăng nhập giả.
• Tài khoản không bị khóa khi nghỉ việc: giáo viên đã chuyển trường nhưng tài khoản vẫn còn quyền nhập điểm.
• Phân quyền quá rộng: mọi giáo viên đều sửa được điểm của mọi lớp, khiến không thể truy ra ai thay đổi điều gì.
• Lỗ hổng phần mềm: phiên bản cũ không được vá, trang quản trị để lộ ra Internet, kết nối không dùng HTTPS.

Nhận diện email lừa đảo là kỹ năng đầu tiên nên tập huấn, xem thêm bài cảnh giác email phishing nhắm vào tài khoản trường.

Lớp 1: Tài khoản và đăng nhập

Mỗi người dùng phải có tài khoản riêng. Không dùng chung một tài khoản "giaovu" cho cả phòng, vì khi có sai sót, không ai biết ai đã làm. Tiếp theo:

• Yêu cầu mật khẩu đủ dài, không trùng với mật khẩu mặc định ban đầu, và buộc đổi ở lần đăng nhập đầu tiên.
• Bật xác thực hai lớp cho tài khoản có quyền nhập, sửa điểm và tài khoản quản trị. Nếu phần mềm chưa hỗ trợ, đây là tiêu chí nên đưa vào khi đàm phán với nhà cung cấp.
• Tự động đăng xuất sau một khoảng thời gian không thao tác, đặc biệt trên máy tính dùng chung.
• Khóa tạm tài khoản sau nhiều lần nhập sai liên tiếp để chống dò mật khẩu.

Lớp 2: Phân quyền theo vai trò

Nguyên tắc "đặc quyền tối thiểu" nghĩa là mỗi người chỉ có đúng quyền cần cho công việc. Một mô hình phân quyền điển hình:

Cơ chế "khóa sổ điểm" rất quan trọng: sau khi kết thúc kỳ, điểm chỉ được sửa thông qua quy trình có phê duyệt và lưu lại lý do.

Lớp 3: Nhật ký và khả năng truy vết

Một hệ thống tốt phải ghi lại ai đăng nhập, từ đâu, lúc nào, và đã sửa trường dữ liệu nào từ giá trị gì sang giá trị gì. Nhật ký này giúp nhà trường trả lời ngay khi phụ huynh thắc mắc điểm bị thay đổi, và là bằng chứng nếu có tranh chấp.

Cán bộ phụ trách nên định kỳ xem các dấu hiệu bất thường: đăng nhập lúc nửa đêm, nhiều thay đổi điểm cùng lúc sau khi đã khóa sổ, một tài khoản đăng nhập từ nhiều nơi trong thời gian ngắn.

Lớp 4: Hạ tầng và nhà cung cấp

Nhiều trường dùng phần mềm thuê ngoài hoặc hệ thống do sở, bộ triển khai. Khi đó, nhà trường không trực tiếp quản lý máy chủ nhưng vẫn nên hỏi rõ:

• Dữ liệu được lưu ở đâu, có mã hóa khi lưu trữ không, ai bên nhà cung cấp được truy cập.
• Bao lâu sao lưu một lần, sao lưu giữ trong bao lâu, đã thử khôi phục chưa.
• Khi phát hiện sự cố, nhà cung cấp thông báo cho trường trong thời hạn nào.
• Khi chấm dứt hợp đồng, dữ liệu được trả lại và xóa ra sao.

Nếu nhà trường tự vận hành máy chủ, cần cập nhật bản vá thường xuyên, chỉ mở những cổng cần thiết, bắt buộc HTTPS và không để trang quản trị truy cập công khai. Phần nguyên tắc mã hóa dữ liệu ở tầng cơ sở dữ liệu được giải thích kỹ trong bài các nguyên tắc cốt lõi khi mã hóa cơ sở dữ liệu.

Trách nhiệm pháp lý với dữ liệu học sinh

Thông tin học sinh là dữ liệu cá nhân, và với học sinh chưa thành niên, việc xử lý dữ liệu cần thận trọng hơn. Việt Nam đã có quy định về bảo vệ dữ liệu cá nhân, trong đó nhấn mạnh việc xử lý đúng mục đích, có biện pháp bảo vệ và thông báo khi có vi phạm. Nhà trường nên có văn bản nội bộ nói rõ ai được truy cập dữ liệu gì, dữ liệu được dùng vào mục đích nào, và không cung cấp danh sách học sinh cho bên thứ ba như trung tâm luyện thi khi chưa có sự đồng ý.

Khi nghi ngờ cổng điểm bị xâm nhập

1. Không vội xóa gì. Ghi lại thời điểm phát hiện, hiện tượng, ảnh chụp màn hình.
2. Khóa tạm các tài khoản liên quan, buộc đổi mật khẩu cho tài khoản quản trị.
3. Trích xuất nhật ký thay đổi trong khoảng thời gian nghi vấn, đối chiếu với sổ điểm giấy hoặc bản sao lưu.
4. Liên hệ nhà cung cấp phần mềm và báo cáo lãnh đạo nhà trường.
5. Khôi phục dữ liệu đúng từ bản sao lưu, thông báo cho học sinh, phụ huynh bị ảnh hưởng một cách minh bạch.
6. Rút kinh nghiệm: lỗ hổng đến từ đâu, cần thay đổi quy trình gì.

Việc giáo viên có thể làm ngay hôm nay

Không cần chờ dự án lớn, mỗi giáo viên có thể: đổi mật khẩu mặc định, không lưu mật khẩu trên máy dùng chung, không nhập điểm qua Wi-Fi công cộng không rõ nguồn, đăng xuất sau khi dùng, và báo ngay cho giáo vụ khi thấy điểm bị thay đổi bất thường. Nếu giáo viên quen làm việc trên Microsoft 365 của trường, bài bật xác thực hai lớp cho Microsoft Teams là bước tiếp theo nên làm.