Nemandi nýtti sér öryggisbrest og reyndi að breyta einkunum annarra

Inna lét tímabundið loka fyrir innskráningar í gegnum Office-pakkann eftir að upp komst um öryggisbrestinn. 

Rektor Menntaskólans í Reykjavík sendi nemendum skólans póst um málið í dag. Nemendur Menntaskólans við Hamrahlíð fengu einnig sambærilegan póst. 

Helga Þórisdóttir, forstjóri Persónuverndar, segir öryggisbrestinn varða sextán skóla. Persónuvernd hafi fengið þrjár tilkynningar frá mismunandi aðilum um þennan brest.

„Þetta er á upphafsstigum,“ segir Helga í samtali við Vísi. Frekari upplýsinga sé að vænta á næstu dögum.

Reyndi að eiga við einkunnir og mætingu

Sólveig Guðrún Hannesdóttir rektor MR segir við Vísi að framhaldsskólarnir hafi uppgötvað brestinn á miðvikudag, þegar grunsamlegar færslur fundust í kerfi Innu. Á föstudaginn hafi Inna síðan sent út tilkynningu til skólanna vegna málsins.

Hún segir að bresturinn hafi gert framhaldsskólanema kleift að eiga við færslur á vefnum, svo sem er varða mætingu eða einkunnir, og hann gert tilraun til þess að breyta færslum hjá öðrum nemendum.

Sólveig segir að kennarar hafi skoðað innri vef og fundið þar margar óeðlilegar færslur. „Það er einhver sem hefur reynt að eyða færslum og breyta einkunum,“ segir Sólveig.  Nemandinn hafi þó verið úr öðrum skóla.

Þetta hafi þau tilkynnt til bæði Innu og Persónuverndar.

Gríðarlegt magn upplýsinga

Tilraun til að breyta einkunnum er þó ekki það sem vakir hvað mest yfir Sólveigu rektor, þó það sé engu að síður alvarlegt, heldur hefur hún sérstaklega áhyggjur af því mikla magni persónuupplýsinga sem umræddur nemandi hafi mögulega getað komist í.

„Ef einstaklingar komast inn í þennan gagnagrunn þá er þarna gífurlegt magn af upplýsingum; ekki bara einkunnir, heldur líka greiningargögn og heilsufarsgögn langt aftur í tímann,“ segir hún. 

Þetta eigi bæði við um núverandi nemenda og fyrri nemenda einnig.

„Þessi einstaklingur sem komst inn í þetta og hefur væntanlega getað séð allt.“

Inna láti gera ytri úttekt

Sem fyrr segir var lokað tímabundið fyrir innskráningarleið í gegnum Microsoft Office en Sólveig segir að nú hafi Inna aftur opnað fyrir innskráningarleiðina.

Hún telur að Inna þurfi að láta gera ytri úttekt og áhættugreiningu á forritinu.

Í þessu samhengi minnist Sólveig á að nemandi við MR hefði í vor afhent skólastjórnendum skýrslu þar sem hann sýndi fram á að hægt væri með auðveldi að fara inn í kerfið hjá Innu. Skólinn hafi upplýst infoMentor um málið, sem sagðist hafa lagað öryggisbrestinn. 

Henni skilst þó af forsvarsmönnum infoMentor að um annars konar galla sé að ræða núna. Hún sé engu að síður áhyggjufull.

„Þetta veldur okkur miklu óöryggi,“ segir Sólveig. „Framhaldsskólarnir borga mörg hundruð þúsund á ári til þess að nota Innu. Við þyrftum að vera mun öruggari.“

Inna, upplýsingakerfi fyrir framhaldsskóla sem inniheldur meðal annars kennslukerfi og nemendabókhald, er nú í eigu fyrirtækisins infoMentor en var áður í eigu Advania. Kerfið var upphaflega þróað að ósk menntamálaráðuneytisins og tekið í notkun árið 2001.