Seguridad en la vuelta al cole: Ciberataques al sector educativo

La vuelta al cole ya ha empezado y tanto estudiantes como profesores vuelven a las aulas para comenzar un nuevo curso escolar. El sector educativo, aunque saque matrícula de honor en investigación y formación de profesionales, todavía tiene pendiente la asignatura de cibermadurez. Esta deficiencia cibernética convierte al sector en un blanco fácil para los hackers, quienes buscan robar datos, bloquear sistemas y sembrar el caos.

En los últimos años, los piratas informáticos no han parado de atacar colegios y universidades enteras, desde Norteamérica a Europa o a Asia. En 2020, la Universidad de California San Francisco tuvo que pagar un rescate de 1,14 millones de dólares tras sufrir un ciberataque que le obligó a cerrar su facultad de medicina. Los hackers se han aprovechado de la desastrosa situación sanitaria que ha acelerado la transición hacia plataformas de aprendizaje en línea, impidiendo al personal docente acceder a los sistemas al cifrar todos los datos de la red, robar archivos sensibles y números de seguridad social, etc. Estos delincuentes cibernéticos piden rescates y amenazan con sacar datos a la luz o simplemente exponerlos a potenciales robos de identidad.

Lo cierto es que en el sector educativo no solo hay datos en los libros de historia o geografía. Las instituciones educativas poseen direcciones, teléfonos e incluso información financiera o de la seguridad social de estudiantes, trabajadores y padres, así como de investigaciones científicas sumamente delicadas, equipos médicos conectados y digitales y plataformas en línea que conectan a profesores y alumnos. Los datos del sector educativo son sorprendentemente valiosos –y vulnerables–.

Ciberseguridad 101: Principios básicos de los Accesos e Identidades

En los últimos años, los ataques, como por ejemplo los de ransomware, han crecido repentinamente, afectando a todos los sectores, incluido el de la educación. Ni los colegios de primaria ni las universidades internacionales se han librado de ellos y, sin embargo… ¡todavía el 84% de los líderes del sector no creen que los ciberataques impliquen riesgos!

En la actualidad, muchas instituciones del sector educativo están comenzando desde cero con la ciberseguridad. Según una encuesta realizada por EdTech sobre CoSN (el consorcio estadounidense para la red escolar), los responsables de IT del sector educativo consideran que la ciberseguridad y la seguridad de los datos son su principal prioridad tecnológica, pero menos de una cuarta parte de ellos (tan solo un 23%) cuenta con un empleado a tiempo completo dedicado a la seguridad informática.

La protección de los datos y la infraestructura de TI empieza por bloquear los accesos. ¿Quién tiene acceso a qué datos? ¿Y a qué plataformas? ¿Realmente necesitan dicho acceso? ¿Cómo se rastrean y protegen las identidades de los usuarios? Es más, ¿cómo se accede a los datos? ¿Los usuarios se conectan desde dentro de la red o, lo que es más probable dados los últimos acontecimientos sanitarios, se conectan de forma remota? ¿Cómo se protegen estos puntos de entrada?

Los principios básicos de la seguridad de accesos e identidades van de dentro afuera:

1. Proteja las «joyas de la corona» –activos sensibles como servidores y datos de estudiantes– que necesiten permisos elevados y trazabilidad de acceso. Implemente la Gestión del Acceso Privilegiado (PAM), para securizar las conexiones remotas e in situ, supervisar actividades privilegiadas y proteger contraseñas para mitigar los riesgos asociados a credenciales privilegiadas y privilegios de acceso excesivos.
2. Defienda al sector educativo de ciberataques de ransomware, malware y criptovirus. Añada una capa de Endpoint Privilege Management (EPM) para eliminar la necesidad de poseer derechos de administrador locales. Proteja también su infraestructura y puestos de trabajo informáticos y aproveche la escalada de privilegios para ejecutar procesos y programas, además de cifrar datos.
3. Centralice el gobierno de las identidades de los usuarios y aplicaciones a las que estos acceden con el fin de simplificar su experiencia en un contexto en el que cada vez hay más plataformas digitales y accesos. Tanto la federación de identidades como el inicio de sesión único (SSO) o la Autenticación Multifactor (MFA) organizan las identidades de los usuarios, las plataformas a las que estos acceden y las contraseñas que utilizan para facilitar el acceso seguro.

Para subir de nivel: Dominio de los privilegios de acceso

La seguridad de acceso y la gestión de identidades son la base de una ciberseguridad sólida en un sector asediado por agentes malignos que buscan aprovecharse de la repentina transformación digital. Estas imprescindibles soluciones ayudan a las instituciones educativas a llevar su cibermadurez hacia una seguridad Zero Trust, de privilegios mínimos y mucho más allá.

• Zero Trust es un marco o enfoque de ciberseguridad que establece que no se debe confiar en ningún usuario o acceso por defecto. Este planteamiento establece que las organizaciones pueden proteger eficazmente su infraestructura informática mediante una política de seguridad que limite los privilegios de acceso, centralice y securice las credenciales y puntos de acceso y autentique las identidades para garantizar que los usuarios son quienes dicen ser y que estos tienen los derechos necesarios.
• El Principio del Menor Privilegio, o PoLP, es un concepto de seguridad que precisa que los usuarios tan solo deben poseer los privilegios de acceso mínimos y necesarios para realizar su trabajo. Mediante este principio, los usuarios pueden solicitar privilegios elevados para llevar a cabo una tarea o cumplir con una obligación, pero esta elevación de privilegios será limitada a un recurso concreto, para realizar una tarea determinada y durante un periodo de tiempo específico. Los usuarios reciben privilegios a través de un modelo de seguridad de acceso justo a tiempo o «Just in Time», y estos se les revocan una vez que expira la necesidad que les llevó a solicitarlos. De esta manera también se posibilita el «Zero Standing Privileges», eliminando el riesgo de acumulación de privilegios.

Ambos conceptos de seguridad avanzada tienen como objetivo reducir la superficie de ataque, mitigando los riesgos de ciberseguridad y eliminando el exceso de puntos de entrada, vulnerabilidades y oportunidades de explotación que los hackers utilizan para acceder a los sistemas informáticos.

Asignatura pendiente: la protección del sector educativo

Al sector educativo le han dado una lección en este último año. El rápido cambio a la enseñanza híbrida o a distancia ha obligado a muchas instituciones a realizar una transición forzosa a los sistemas digitales. Esto ha dejado a colegios, centros de enseñanza secundaria y universidades expuestos a amenazas cibernéticas, que van desde hackers de poca monta a ataques de ransomware que buscan dinero a toda costa.