Keselamatan Siber untuk Sekolah: Asas yang Perlu Diketahui

Sekolah semakin menjadi sasaran serangan siber. Data pelajar, maklumat kewangan, dan sistem sekolah semuanya berisiko. Berita baiknya, keselamatan siber asas tidak memerlukan bajet yang besar. Ia memerlukan kesedaran dan amalan yang konsisten.

Mengapa Sekolah Menjadi Sasaran?

1. Data yang Bernilai - Maklumat peribadi pelajar (IC, alamat, rekod perubatan) - Butiran kakitangan - Data kewangan - Rekod akademik

2. Keselamatan yang Lemah - Kakitangan IT yang terhad - Sistem yang lapuk - Latihan yang tidak mencukupi - Kekangan bajet

3. Banyak Pintu Masuk - Beratus-ratus pengguna (pelajar, guru, ibu bapa) - BYOD (Bring Your Own Device) - Aplikasi pihak ketiga - Akses jarak jauh

Realitinya: Data tahun 2023 menunjukkan 1 daripada 4 sekolah di Malaysia pernah mengalami insiden siber dalam sesuatu bentuk.

5 Ancaman Siber Utama terhadap Sekolah

1. Serangan "Phishing"

Apa: E-mel atau mesej palsu memperdaya pengguna supaya mendedahkan kata laluan atau mengklik pautan berniat jahat.

Contoh: E-mel yang mendakwa daripada "Pengetua" meminta guru "mengesahkan segera" akaun dengan mengklik pautan.

Impak: Akaun terjejas, kecurian data, pemasangan perisian hasad.

2. "Ransomware"

Apa: Perisian berniat jahat mengunci sistem atau data sekolah. Penyerang menuntut bayaran untuk membukanya semula.

Contoh: Sebuah SMK di Selangor hilang akses kepada semua rekod pelajar selama 2 minggu pada tahun 2023.

Impak: Sistem tergendala, kehilangan data, kerugian kewangan, kerosakan reputasi.

3. Kebocoran Data

Apa: Akses tanpa kebenaran kepada maklumat sensitif.

• Punca lazim:
• Peranti hilang/dicuri dengan data yang tidak disulitkan
• Kata laluan yang lemah
• Rangkaian yang tidak selamat
• Kawalan akses yang tidak mencukupi

Impak: Pencabulan privasi, isu perundangan, kehilangan kepercayaan.

4. Ancaman Dalaman

Apa: Ancaman dari dalam organisasi, sama ada disengajakan atau tidak.

• Contoh:
• Guru terkongsi dokumen sulit secara tidak sengaja
• Pelajar mengakses pangkalan data gred
• Kakitangan yang tidak puas hati membocorkan maklumat

Impak: Pendedahan data, kerosakan sistem, komplikasi perundangan.

5. Kejuruteraan Sosial

Apa: Memanipulasi manusia supaya menjejaskan keselamatan.

• Contoh:
• Menyamar sebagai sokongan IT untuk mendapatkan kata laluan
• Ibu bapa palsu meminta maklumat pelajar
• Mengintai skrin ("shoulder surfing") untuk melihat kata laluan yang ditaip

Impak: Akaun terjejas, kecurian data, akses tanpa kebenaran.

10 Langkah Keselamatan Penting

1. Dasar Kata Laluan yang Kukuh

• Laksanakan:
• Minimum 12 aksara
• Gabungan huruf besar, huruf kecil, nombor, simbol
• Tiada perkataan lazim atau corak yang mudah diteka
• Kata laluan berbeza untuk akaun berbeza
• Tukar setiap 90 hari

• Gunakan pengurus kata laluan:
• Guru: LastPass, 1Password, Bitwarden
• Peringkat sekolah: Penyelesaian kata laluan terurus

• Aktifkan Pengesahan Berbilang Faktor (MFA):
• Memerlukan pengesahan kedua (kod SMS, aplikasi, kunci keselamatan)
• Menghalang 99.9% pengambilalihan akaun
• Aktifkan untuk SEMUA akaun sekolah

2. Latihan Kesedaran Keselamatan

• Topik latihan bulanan:
• Bulan 1: Mengenal pasti e-mel "phishing"
• Bulan 2: Pelayaran internet yang selamat
• Bulan 3: Privasi media sosial
• Bulan 4: Keselamatan kata laluan
• Bulan 5: Keselamatan peranti mudah alih
• Bulan 6: Protokol pengendalian data

• Kaedah latihan:
• Sesi 15 minit waktu makan tengah hari
• Petua melalui e-mel
• Ujian simulasi "phishing"
• Kuiz ringkas

• Libatkan:
• Semua kakitangan (guru, pentadbir, staf sokongan)
• Pelajar (mengikut kesesuaian umur)
• Bahan kesedaran untuk ibu bapa

3. Kemas Kini Perisian Secara Berkala

• Pastikan sentiasa dikemas kini:
• Sistem pengendalian (Windows, macOS, Chrome OS)
• Aplikasi (Office, "browser", dan lain-lain)
• Perisian keselamatan
• "Firmware" (penghala dan sebagainya)

Mengapa kritikal: Kemas kini menampal kelemahan keselamatan.

• Cara mengurusnya:
• Aktifkan kemas kini automatik jika boleh
• Semakan manual setiap bulan
• Inventori semua perisian yang digunakan
• Buang aplikasi yang tidak digunakan

4. Keselamatan Rangkaian

Langkah penting:

• A) Asingkan Rangkaian:
• Rangkaian pentadbiran (akses terhad)
• Rangkaian kakitangan
• Rangkaian pelajar
• Rangkaian tetamu
• Rangkaian peranti IoT (pencetak, papan pintar)

• B) Keselamatan Wi-Fi yang Kukuh:
• Penyulitan WPA3 (atau minimum WPA2)
• Kata laluan unik yang kukuh
• SSID tersembunyi untuk rangkaian pentadbiran
• Penukaran kata laluan secara berkala

• C) Konfigurasi "Firewall":
• Dikonfigurasi dan dipantau dengan betul
• Sekat port yang tidak perlu
• Tapis trafik berniat jahat
• Log semua aktiviti

• D) Penapisan Kandungan:
• Sekat laman yang tidak sesuai
• Halang muat turun perisian hasad
• Kawal penggunaan lebar jalur
• Sekatan mengikut kesesuaian umur

5. Strategi Sandaran Data

• Ikut peraturan 3-2-1:
• 3 salinan data
• 2 jenis storan berbeza
• 1 salinan di luar premis

• Kekerapan sandaran:
• Data kritikal: Setiap hari
• Data penting: Setiap minggu
• Data umum: Setiap bulan

• Uji pemulihan:
• Ujian pemulihan setiap bulan
• Sahkan integriti data
• Dokumenkan prosedur pemulihan
• Latih kakitangan tentang prosesnya

• Alat:
• Sandaran awan: Google Drive, OneDrive, Acronis
• Pemacu luaran (disimpan dengan selamat)
• Storan bersambung rangkaian (NAS)

6. Kawalan Akses

• Prinsip Keistimewaan Minimum:
• Pengguna hanya diberi akses yang diperlukan
• Bukan semua orang perlukan hak pentadbir
• Tahap kebenaran yang berbeza

• Pelaksanaan:
• Tahap 1 (Pelajar): Aplikasi asas, sumber yang ditetapkan
• Tahap 2 (Guru): Data murid bagi kelas masing-masing, alat penghasilan kandungan
• Tahap 3 (Pentadbir): Data seluruh sekolah, tetapan sistem
• Tahap 4 (IT): Akses penuh sistem

• Audit berkala:
• Semakan suku tahunan tentang siapa mempunyai akses kepada apa
• Tarik balik akses apabila tidak lagi diperlukan (pelajar tamat belajar, kakitangan berhenti)
• Log dan pantau cubaan akses

7. Pengurusan Peranti

Untuk peranti milik sekolah:

• Gunakan Pengurusan Peranti Mudah Alih (MDM):
• Google Workspace for Education (Chromebook)
• Microsoft Intune (Windows)
• Apple School Manager (iPad)

• MDM membolehkan:
• Kunci/padam peranti dari jauh
• Penguatkuasaan dasar keselamatan
• Pengurusan aplikasi
• Penjejakan lokasi
• Kemas kini automatik

• Untuk BYOD (Bring Your Own Device):
• Dasar Penggunaan Boleh Terima (AUP) yang ditandatangani
• Keperluan keselamatan minimum
• Akses rangkaian yang berasingan
• Tiada penyimpanan data sensitif
• Akses jarak jauh melalui VPN sahaja

8. Keselamatan E-mel

Konfigurasikan:

• A) Penapisan Spam:
• Sekat penghantar yang mencurigakan
• Kuarantin ancaman yang berpotensi
• Pilihan pelaporan oleh pengguna

• B) SPF, DKIM, DMARC:
• Protokol teknikal yang menghalang pemalsuan e-mel
• Perlu dikonfigurasi oleh pihak IT
• Mengesahkan kesahihan e-mel sekolah

• C) Pengendalian Lampiran yang Selamat:
• Imbas lampiran secara automatik
• Sekat jenis fail berbahaya (.exe, .scr, dan lain-lain)
• Wajibkan pengesahan kedua untuk lampiran yang tidak dijangka

• D) Amaran E-mel Luaran:
• Labelkan e-mel dari luar organisasi
• Penanda visual untuk penghantar luaran

9. Keselamatan Fizikal

Sering diabaikan tetapi kritikal:

• A) Bilik Pelayan yang Selamat:
• Akses berkunci (kad akses/biometrik)
• Log akses
• Kawalan persekitaran (suhu, kelembapan)
• Sistem pemadam kebakaran

• B) Kunci Skrin:
• Kunci automatik selepas 5 minit tidak aktif
• Kuatkuasakan pada semua peranti
• Latih pengguna mengunci skrin secara manual apabila meninggalkan meja

• C) Dasar Meja Bersih:
• Tiada dokumen sulit dibiarkan terdedah
• Kunci kabinet
• Rincih kertas yang sensitif
• Simpan pemacu USB dengan selamat

• D) Pengurusan Pelawat:
• Sistem daftar masuk/keluar
• Lencana pelawat
• Akses berdampingan dengan kakitangan
• Sekatan peranti

10. Pelan Tindak Balas Insiden

Bersedia sebelum insiden berlaku:

• A) Pasukan Tindak Balas:
• Ketua IT
• Pengetua/pentadbir
• Pegawai komunikasi
• Penasihat undang-undang (jika perlu)

B) Prosedur Tindak Balas:

• Fasa 1: Pengenalpastian (0-1 jam)
• Sahkan insiden itu benar
• Dokumenkan segala-galanya
• Bendung dengan segera
• Maklumkan pasukan tindak balas

• Fasa 2: Pembendungan (1-24 jam)
• Asingkan sistem yang terjejas
• Tukar kata laluan
• Pelihara bukti
• Nilai skop insiden

• Fasa 3: Penghapusan (24-72 jam)
• Singkirkan ancaman
• Tampal kelemahan
• Sahkan sistem sudah bersih
• Dokumenkan punca utama

• Fasa 4: Pemulihan (3-7 hari)
• Pulihkan sistem
• Pantau dengan rapi
• Sahkan kefungsian
• Pulihkan data daripada sandaran

• Fasa 5: Pasca-Insiden (1-2 minggu)
• Sesi taklimat bersama pasukan
• Kemas kini langkah keselamatan
• Latih kakitangan tentang pengajaran yang diperoleh
• Lapor kepada pihak berkuasa jika diwajibkan

• C) Pelan Komunikasi:
• Pihak berkepentingan dalaman
• Ibu bapa (jika data pelajar terjejas)
• Pihak berkuasa (jika diwajibkan oleh undang-undang)
• Media (jika perlu)

Senarai Semak Keselamatan Ringkas

• Harian:
• [ ] Kemas kini perisian dijalankan
• [ ] Sandaran berjaya disiapkan
• [ ] Log keselamatan disemak (automatik)

• Mingguan:
• [ ] Amaran keselamatan disemak
• [ ] Log akses diperiksa
• [ ] Petua keselamatan dikongsi dengan kakitangan

• Bulanan:
• [ ] Penukaran kata laluan
• [ ] Sesi latihan keselamatan
• [ ] Ujian pemulihan sandaran
• [ ] Inventori perisian dikemas kini

• Suku Tahunan:
• [ ] Audit keselamatan penuh
• [ ] Semakan kebenaran akses
• [ ] Kemas kini dasar
• [ ] Semakan keselamatan vendor

• Tahunan:
• [ ] Ujian penembusan
• [ ] Semakan menyeluruh dasar
• [ ] Semakan insurans
• [ ] Latihan pemulihan bencana

Mengajar Keselamatan Siber kepada Pelajar

Kurikulum mengikut peringkat umur:

• Sekolah Rendah (Tahun 1-3):
• Asas keselamatan dalam talian
• Jangan kongsi maklumat peribadi
• Beritahu orang dewasa yang dipercayai tentang sebarang masalah
• Kata laluan yang kukuh

• Sekolah Rendah (Tahun 4-6):
• Keselamatan media sosial
• Mengenal pasti pautan yang mencurigakan
• Jejak digital
• Tingkah laku sopan dalam talian

• Sekolah Menengah:
• Keselamatan kata laluan lanjutan
• Pengecaman "phishing"
• Tetapan privasi
• Komunikasi yang selamat
• Kesedaran tentang "ethical hacking"

• Aktiviti:
• Permainan "cam e-mel phishing"
• Pertandingan kekuatan kata laluan
• Projek kewarganegaraan digital
• Pendedahan kerjaya keselamatan siber

Alat Percuma untuk Sekolah

• Alat Keselamatan:
• Malwarebytes - Pengimbas perisian hasad
• Duo Security - MFA percuma untuk sektor pendidikan
• Have I Been Pwned - Semak akaun yang telah terjejas

• Sumber Latihan:
• Google Be Internet Awesome - Kurikulum keselamatan siber untuk pelajar
• Common Sense Media - Pelajaran kewarganegaraan digital
• CyberSecurity Malaysia - Sumber tempatan dan bahan kesedaran

• Alat Penilaian:
• KnowBe4 - Latihan kesedaran keselamatan percuma
• PhishingBox - Ujian simulasi "phishing"
• Security Scorecard - Penilaian keselamatan sekolah percuma

Perancangan Bajet

Kos biasa untuk SMK dengan 1000 pelajar:

• Tahun 1 (Persediaan):
• Lesen perisian keselamatan: RM 5,000
• Naik taraf "firewall": RM 8,000
• Penyelesaian MDM: RM 3,000
• Bahan latihan: RM 2,000
• Jumlah: RM 18,000

• Tahunan (Berterusan):
• Pembaharuan perisian: RM 5,000
• Storan sandaran: RM 2,000
• Latihan: RM 2,000
• Penilaian: RM 1,000
• Jumlah: RM 10,000

Pulangan pelaburan: Satu kebocoran data boleh menelan kos RM 50,000 hingga RM 500,000 atau lebih dari segi pemulihan, perundangan, dan kerosakan reputasi. Pencegahan jauh lebih murah!

Pematuhan & Pertimbangan Undang-Undang

• Undang-Undang Malaysia:
• Akta Perlindungan Data Peribadi (PDPA) 2010
• Akta Jenayah Komputer 1997
• Akta Komunikasi dan Multimedia 1998

• Tanggungjawab sekolah:
• Melindungi data peribadi pelajar/kakitangan
• Melaporkan kebocoran kepada pihak berkuasa PDPA
• Menyelenggara jejak audit
• Mendapatkan persetujuan pelajar bagi pengumpulan data

• Penalti bagi ketidakpatuhan:
• Denda sehingga RM 500,000
• Penjara sehingga 3 tahun
• Kerosakan reputasi
• Kehilangan kepercayaan

Kesimpulan

Keselamatan siber bukan sekadar masalah IT, sebaliknya tanggungjawab seluruh warga sekolah. Setiap kakitangan, pelajar, dan ibu bapa mempunyai peranan masing-masing.

1. Mulakan hari ini:
2. Minggu ini: Aktifkan MFA pada akaun sekolah
3. Bulan ini: Jalankan latihan kesedaran "phishing"
4. Suku tahun ini: Laksanakan dasar kata laluan
5. Tahun ini: Audit keselamatan penuh dan pelan tindakan

Ingat: Keselamatan yang sempurna tidak wujud. Matlamatnya ialah menjadikan sekolah anda sasaran yang lebih sukar berbanding yang lain dan bersedia untuk bertindak balas dengan berkesan.

Lindungi pelajar anda, lindungi data anda, lindungi sekolah anda.

---

Ada soalan tentang keselamatan siber sekolah? Hubungi pejabat CyberSecurity Malaysia yang berdekatan atau tinggalkan soalan di ruangan komen. Semoga sentiasa selamat!