Actualmente, en plena era digital, podríamos asegurar que muchas universidades y escuelas saben sobre seguridad digital y sus riesgos. Sin embargo, ¿todas toman realmente las medidas necesarias para permanecer a salvo de ciberataques? El mundo del cracking y de la piratería cibernética es una realidad que crece y está en el tercer riesgo mundial.
Las instituciones educativas manejan grandes volúmenes de datos personales de alumnos y del equipo docente, pero también documentos de identidad, datos financieros, historial académico, registros médicos, por lo que se convierten en un blanco estratégico de los ciberdelincuentes para afectar la privacidad de las personas y sobre todo la integridad de la información. Se han producido ataques de ransomware, donde los atacantes han robado o han eliminado datos de los sistemas de los usuarios. Además, han hecho que los ordenadores sean inaccesibles.
Con el objetivo de conocer qué tan expuestas están las instituciones educativas a riesgos de seguridad. ESET realizó una encuesta, en la que participaron instituciones de primaria, secundaria, medio superior y superior de Latinoamérica. El principal hallazgo del estudio señala que 67% de las instituciones participantes aseguró haber sufrido al menos un incidente de seguridad. Y es que básicamente podrían quedar expuestas al acceso indebido de información sensible y robo de datos. Sin embargo, 72% dice realizar actividades de concientización, pero solamente un 31% lo hace de manera periódica.
Estar conectado de una red no del todo segura puede generar que los dispositivos vinculados sean vulnerados permitiendo a los atacantes acceder desde fotografías hasta la modificación de datos/notas académicas. Además, se expone el prestigio de la institución a través del defacement y otras actividades hacktivistas.
Los riesgos a los que se exponen las instituciones educativas no difieren de los que pueden sufrir grandes industrias y corporaciones, comprender el riesgo a los que la institución y todos los que forman parte de la misma están expuestos, ayuda a tomar las medidas básicas de protección logrando proteger la privacidad y la información sensible de cualquier establecimiento.
¿Por qué las instituciones educativas son atractivas para los ciberdelincuentes?
Por el gran volumen de datos personales que registran en su base de alumnos y del equipo docente: documentos de identidad, datos financieros, historial académico, registros médicos. Solo el 44% de las instituciones consultadas en la encuesta de ESET cuentan con los controles básicos de protección, como son Antivirus, Backup y Firewall, mientras que la mitad admitió haber sido víctima de infecciones de malware.
Algunas instituciones no han considerado la ciberseguridad un tema prioritario, previo a la pandemia, y por ello funcionan con sistemas antiguos que no están preparados para hacer frente a los ataques actuales. Además de que los estudiantes cada vez más utilizan los dispositivos personales para conectarse a las redes escolares, incrementando las probabilidades de que se comprometan los sistemas de los centros educativos ya que se crean múltiples puntos de entrada que facilitan el trabajo de los ciberdelincuentes.
Claves para proteger la información de ataques cibernéticos.
1. Reconocer la problemática de la ciberseguridad
Ninguna estrategia se puede poner en práctica si primero no reconocemos “por qué” es necesaria en primer lugar. Es indispensable que toda institución educativa esté al tanto de la problemática.
Los centros educativos manejan enormes cantidades de datos, teniendo acceso a todo tipo de información: educativa, financiera, sanitaria y datos sensibles. Esta realidad hace que tengan también una altísima exposición a riesgos de ciberseguridad. En 2019, tan solo en Estados Unidos, 89 universidades, colegios y distritos escolares sufrieron múltiples ataques de ransomware. 1.233 instituciones se vieron potencialmente afectadas. De 2019 a 2020, los ataques contra universidades se dispararon un 100%, según BlueVoyant. También empezaron a exigir mayores sumas de dinero a las universidades, ya que el coste medio de un ataque de ransomware en 2020 fue de 447.000 dólares.
El informe reciente sobre investigaciones de violaciones de datos de Verizon afirmó que las instituciones educativas tuvieron un mal desempeño informando sobre los ataques de phishing. E incurrieron perdiendo así un tiempo de respuesta crítico para las organizaciones víctimas. Su principal debilidad fueron las aplicaciones web, con un 67% de las amenazas proviniendo del exterior, y un 33% del interior.
2. Evaluar los entornos virtuales
¿Realmente hemos evaluado nuestros entornos digitales? Saber cuáles son tus riesgos de ciberseguridad y cómo pueden afectar a su universidad o escuela es un factor crucial para optimizar la seguridad de tu red. Si no sabemos evaluar los riesgos que corre nuestra institución, tampoco sabremos qué necesitamos para estar seguros. Ser capaz de realizar dicha evaluación es clave para la ciberseguridad de instituciones educativas, porque esto es lo que le ayudará a centrar tus esfuerzos y hacer el uso más eficiente del presupuesto de seguridad virtual, además, saber cuáles son tus mayores riesgos de seguridad te permitirá trabajar de forma proactiva para proteger tu institución.
Para comenzar, muchas empresas inician con algo simple como analizar en números contables: tráfico web, cantidad de activos conectados a las redes, softwares en uso y vulnerabilidades conocidas. Y, en segundo lugar, pero no menos importante, evaluar los requisitos normativos.
3. Educar para prevenir
Ninguna defensa es 100% a prueba de todas las ciber-amenazas. Una encuesta realizada a unos 2.500 directores de informática reveló que el 31% de los problemas de seguridad pueden atribuirse a errores de los empleados. Esto según un estudio de la empresa de personal Robert Half Technology. Por eso un factor crucial en la ciberseguridad es el educar para prevenir.
No siempre que un hacker es afortunado de encontrar algún tipo de brecha en la seguridad de su red, es porque pasó la noche descifrando un código. A veces es suficiente con escribir un mensaje por correo electrónico. Si un empleado cae en un ataque de suplantación de identidad o a través de un clic o una descarga, es suficiente para vulnerar todo el sistema o gran parte de él.
Es necesario invertir en educación en materia de ciberseguridad para todos los empleados en las instituciones educativas. Ya que siempre se está en riesgo de encontrar una vulnerabilidad de seguridad previamente desconocida. La educación en seguridad se encuentra entre los factores de ciberseguridad menos considerados. Invertir en ciber-educación para tus empleados puede marcar una notable diferencia.
Además, es posible adoptar diversos métodos de instrucción: sea formación periódica, sesiones en el horario de almuerzo y aprendizaje con el equipo de TI. También seminarios gratuitos o incluso pruebas aleatorias de phishing y detección de infracciones.
4. Poner en uso las herramientas necesarias
Aunque el factor humano también es importante a la hora de prevenir ciberataques no es suficiente en sí mismo. Es necesario implementar herramientas de alta calidad que puedan permitirnos detectar y gestionar las vulnerabilidades de los sistemas. Además de permitirnos solucionarlos de manera rápida al entregarnos reportes completos y detallados.
Un importante factor de ciberseguridad para instituciones educativas es desarrollar, implementar y mantener un programa de seguridad de la información, aplicando programas de protección y seleccionando a los proveedores de servicios adecuados. Dichos proveedores deben ser elegidos con los mayores estándares. Considerando que una brecha de vulnerabilidad podría constituir mayores pérdidas económicas y sociales, pueden ayudarlo a solucionar e implementar herramientas y metodologías efectivas:
Establecer un fuerte perímetro online frente a accesos no autorizados y contenidos maliciosos.
Automatización en sus infraestructuras aumenta la eficiencia en sus operaciones en ciberseguridad y optimiza en el menor tiempo sus procesos de respuesta a incidentes.
Monitoreo en todos sus sistemas continuamente para detectar vulnerabilidades y anomalías.
Medición en el compromiso en tiempo real de las operaciones de seguridad actuales, que se enfrentan a la tarea de filtrar un gran número de alertas procedentes de sistemas de seguridad y de IT.
Solución antivirus que cuente con capacidades de cifrado, backup, y doble factor de autenticación para acceder a las diferentes cuentas.
Actualizaciones, manteniendo al día todos los sistemas.
Auditorías para conocer el estado de la seguridad, evitar brechas, actualizar permisos de administradores, entre otros.
La virtualidad tiene muchas ventajas y hay consenso en que los sistemas educativos mantendrán modelos “híbridos” de enseñanza. No obstante, los sistemas y plataformas digitales traen aparejados algunos riesgos. En países de Latinoamérica, los hackeos han aumentado drásticamente, vulnerando y afectando directamente la educación de miles de personas. La educación necesita mejorar su ciberseguridad.