Dlaczego uczelnia jest celem ataków i co chronisz

Po tej lekcji wyjaśnisz, dlaczego uczelnia jest atrakcyjnym celem dla przestępców, nazwiesz zasoby, które chronisz na co dzień, i zrobisz pierwszy przegląd własnego „cyfrowego plecaka”.

Przez cały kurs towarzyszy Ci fikcyjna uczelnia: Akademia Wschodnia w Lublinie. Poznasz trzy osoby, które w niej pracują i studiują. Kuba jest studentem trzeciego roku administracji i pisze pracę licencjacką. Dr Marta Wilk prowadzi zajęcia z socjologii i badania ankietowe. Pani Ewa pracuje w dziekanacie i codziennie obsługuje sprawy studentów. Każda z tych osób ma inne konta, inne dane i inne ryzyka, a jednak wszystkie trzy korzystają z tej samej sieci i tej samej poczty.

Dlaczego przestępcy interesują się uczelniami

Uczelnia łączy cechy, które z punktu widzenia atakującego są bardzo wygodne.

Dużo kont i duża rotacja. Co roku w październiku pojawiają się tysiące nowych studentów, którzy dopiero uczą się systemów uczelni. Nowa osoba nie wie jeszcze, jak wygląda prawdziwa wiadomość z dziekanatu, więc łatwiej ją oszukać.

Otwarta kultura. Uczelnia z założenia dzieli się wiedzą: publikuje adresy e-mail pracowników, plany zajęć, nazwiska promotorów i tematy badań. To dobre dla nauki, ale daje oszustom gotowy materiał do wiarygodnych wiadomości.

Cenne dane. W systemach uczelni są dane osobowe studentów i kandydatów, oceny, dane kadrowe, wyniki badań, wnioski grantowe i umowy z partnerami. Część z nich ma wartość finansową, część naukową.

Wiele urządzeń i sieci. Studenci i wykładowcy pracują na prywatnych laptopach i telefonach, w domu, w akademiku, w kawiarni. Granica między sprzętem prywatnym a uczelnianym jest płynna.

Opracowanie własne na przykładzie fikcyjnej Akademii Wschodniej.

Co chronisz: poufność, integralność i dostępność

W bezpieczeństwie informacji używa się trzech pojęć, które warto znać, bo pojawiają się w politykach uczelni i w przepisach.

• Poufność: informację widzą tylko osoby uprawnione. Naruszeniem poufności jest na przykład lista ocen z numerami albumów wysłana do całego roku zamiast do jednej grupy.
• Integralność: informacja jest prawdziwa i nikt jej nie zmienił bez uprawnień. Naruszeniem integralności jest zmiana oceny w protokole przez osobę, która przejęła konto wykładowcy.
• Dostępność: informacja i system działają wtedy, gdy są potrzebne. Naruszeniem dostępności jest zaszyfrowanie przez ransomware dysku z pracą dyplomową tydzień przed obroną.

Te trzy pojęcia pomagają ocenić każdą sytuację. Zamiast pytać „czy to groźne?”, pytasz: co tu może wyciec, co może zostać zmienione i co może przestać działać.

Trzy osoby, trzy zestawy ryzyk

Kuba ma konto w systemie obsługi studiów, pocztę uczelnianą, dostęp do platformy e-learningowej i chmury, w której trzyma pracę licencjacką. Dla niego największe ryzyka to przejęcie konta przez fałszywą stronę logowania i utrata pracy bez kopii zapasowej.

Dr Marta Wilk ma uprawnienia do wpisywania ocen, dostęp do danych respondentów z badań i skrzynkę, na którą piszą setki studentów. Przejęcie jej konta pozwala zmieniać oceny i rozsyłać oszustwa w jej imieniu do całego wydziału.

Pani Ewa przetwarza dane osobowe studentów każdego dnia: adresy, numery PESEL, informacje o stypendiach. Jej błąd, na przykład wysłanie pliku do niewłaściwej osoby, może być naruszeniem ochrony danych w rozumieniu RODO, które uczelnia musi ocenić i czasem zgłosić do Prezesa UODO.

Wspólne dla całej trójki jest to, że atak zwykle zaczyna się od człowieka: od kliknięcia, od pośpiechu, od zaufania do wiadomości, która wygląda znajomo. Dlatego ten kurs skupia się na nawykach, a nie na technice serwerowni.

Bezpieczeństwo uczelni a przepisy

Od 3 kwietnia 2026 roku obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, która wdraża w Polsce unijną dyrektywę NIS2 (Dz.U. 2026 poz. 252). W załączniku do ustawy, w sektorze „badania naukowe”, wymieniono między innymi podmioty systemu szkolnictwa wyższego i nauki, czyli także uczelnie. To, czy konkretna uczelnia ma obowiązki podmiotu ważnego, zależy od kryteriów z ustawy, a ocenia to sama uczelnia. Dla Ciebie praktyczny skutek jest prosty: uczelnie porządkują procedury, szkolenia i zgłaszanie incydentów, więc warto wiedzieć, gdzie są zasady Twojej uczelni. Zajmiesz się tym w lekcji 1.3.

Najważniejsze w 3 punktach

1. Uczelnia jest atrakcyjnym celem: ma dużo kont, dużą rotację, otwarte informacje i cenne dane.
2. Każdą sytuację oceniasz trzema pytaniami: co może wyciec, co może zostać zmienione, co może przestać działać.
3. Większość ataków zaczyna się od człowieka, dlatego najwięcej zyskujesz na dobrych nawykach przy własnych kontach.

Źródła

• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw, Dz.U. 2026 poz. 252, załącznik nr 2: api.sejm.gov.pl
• Ministerstwo Cyfryzacji, „Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa zaczyna obowiązywać”, kwiecień 2026: gov.pl
• Rozporządzenie (UE) 2016/679 (RODO), art. 4 pkt 12 i art. 33: eur-lex.europa.eu

Materiał edukacyjny, nie porada prawna. Stan na październik 2026. W sprawach swojej uczelni stosuj jej regulaminy i procedury.