La ciberprotección del sector educativo: una asignatura pendiente

La ciberseguridad del sector educativo es, hoy por hoy, uno de los grandes desafíos que debemos afrontar como sociedad. A medida que la enseñanza se apoya cada vez más en las nuevas tecnologías se hace imprescindible acometer inversiones y mejoras en los elementos de ciber protección de estos entornos ya que de lo contrario los daños y repercusiones negativas pueden ser cuantiosos.

De hecho, y aunque pueda parecer ilógico, el educativo es el sector con más riesgo de sufrir ciberataques. Según Microsoft, representa cuatro quintas partes (el 82,6 %) de todo el malware detectado en los últimos 30 días. Pero, además, ocupa los puestos de cabeza de la lista, si no el primero, desde hace años.

Desde Barracuda, nuestro análisis de 3,5 millones de ataques de spear-phishing durante un periodo de cuatro meses señala que más de 1000 instituciones educativas fueron objetivo de estos ataques. Asimismo, en comparación con la media, las instituciones educativas presentan el doble de probabilidad de sufrir un ataque de fraude del correo electrónico empresarial.

Se trata de un delito en el que los agentes malintencionados suplantan a un miembro del personal docente o no docente a fin de intentar engañar a otros para que compartan información o aprueben transacciones económicas. También han aumentado los ataques denegación de servicios distribuidos (DDoS), que inundan las redes con una cantidad de tráfico abrumadora, dirigidos a instituciones educativas. Estos ataques de DDoS no solo pueden interrumpir el aprendizaje en línea, sino que también se utilizan para encubrir los intentos de penetrar en las defensas de la red e inyectar malware en el sistema.

El sector educativo es muy variado: desde pequeños colegios o institutos hasta enormes universidades con varios campus

Sin embargo, hay algunos elementos comunes que las convierten en objetivos atractivos. La conciencia y reconocimiento de los riesgos es clave para la mitigación. Entre dichos riesgos, se incluyen:

• Una nueva serie de objetivos al año: las instituciones educativas reciben un alumnado nuevo cada año, que podría necesitar formación para gestionar los equipos informáticos facilitados, así como asistencia para familiarizarse con las rutinas de autenticación obligatorias y con las prácticas recomendadas relativas al acceso a los recursos que necesitan para aprender.
• Aumento del aprendizaje electrónico: el aprendizaje electrónico y el aprendizaje remoto ya estaban en pleno crecimiento cuando llegó la pandemia de covid-19. Esto supuso un aumento exponencial del tráfico de correo electrónico, gracias a lo cual los ataques lo tienen más fácil para ocultarse. El aumento drástico de estudiantes que aprenden desde casa también hace indispensable la disponibilidad transparente de datos y aplicaciones, así como la escalabilidad de los mecanismos de acceso remoto.
• Múltiples ubicaciones: independientemente de si se trata de una universidad grande con campus en toda la región o ciudad, de un consejo de educación o de un grupo multiacadémico, múltiples ubicaciones suponen un mayor desafío de seguridad. Existe la posibilidad de que los alumnos y el personal docente y no docente accedan a la red de forma legítima desde muchas ubicaciones, lo que dificulta la detección de los atacantes.
• Datos valiosos: si bien algunos ataques son simples travesuras maliciosas, la mayoría de los ciberdelincuentes buscan obtener ganancias económicas o materiales. Las instituciones financieras albergan grandes cantidades de datos de gran valor, como la información personal identificable (Pii) de los estudiantes, los padres y el personal docente y no docente; información sobre pagos y cuentas; y, en muchos casos, la valiosa propiedad intelectual en forma de datos de investigación. Esto puede convertirlos en objetivos de actividades de extorsión o ciberespionaje e incluso de ataques patrocinados por estados.
• Acceso a redes públicas o semipúblicas: numerosas instituciones pueden contar con acceso público a wifi para padres y visitantes o terminales compartidas en espacios públicos.
• Formación del usuario necesaria: los usuarios son la primera línea de defensa (y puede decirse que la mejor) frente a los peligros. Es esencial formar a los usuarios (y por usuarios entendemos alumnos y personal docente y no docente) para que reconozcan y denuncien las amenazas para la seguridad de red.
• Vulnerabilidad de proveedores y socios: las instituciones educativas tienen relaciones con proveedores, contratistas y socios de investigación de los sectores público y privado. Resulta vital garantizar que esas partes mantienen una buena práctica de red. En caso contrario, estos terceros pueden ser la base de un ataque de salto de isla en isla o island-hopping, que consiste en que el atacante utiliza la red de un proveedor o socio para acceder a la suya.

Es posible que los motivos de un atacante sean simplemente causar interrupciones y destrucción. Sin embargo, es más probable que su intención sea lucrarse de algún modo. Puede tratarse de una banda de ransomware que extorsione para obtener un rescate a cambio de liberar los datos que ha cifrado. Pueden ser ladrones de identidades que deseen robar credenciales y venderlas. O podrían ser agentes empresariales o patrocinados por estados que deseen eliminar o extraer propiedad intelectual. Al fin y a la postre, el resultado de todo ello es que las instituciones educativas se ven obligadas a defenderse mejorando la seguridad de red en capas y en profundidad.

Las capas de seguridad de red mantienen la seguridad y la agilidad de las instituciones educativas. La seguridad de red no es un producto, un programa ni una lista de comprobación. Se trata de un enfoque integral que crea capas de defensa para que las organizaciones estén protegidas y, al mismo tiempo, puedan operar con eficacia. En el caso de las instituciones educativas, una seguridad sumamente estricta, con demasiados puntos de control, contraseñas y verificaciones que impidan a los alumnos acceder a sus clases, usar el correo electrónico o consultar los materiales, es un error. Utilizar una sola capa, por resistente que sea, tampoco funcionaría. Si un delincuente se infiltra en la cuenta de correo electrónico de un profesor y, a continuación, puede recorrer toda la red libremente, es otro fracaso.

Lo que hay que hacer es utilizar capas de seguridad que abarquen la red en su conjunto para proporcionar distintos tipos de seguridad en toda la organización. Una seguridad multicapa que incluya la funcionalidad plena de sandboxing de emulación garantiza una protección eficaz frente a amenazas avanzadas y sofisticadas, a la vez que mitiga el riesgo de ser víctima de un ataque de ransomware. Realizar la transición a la nube ofrece grandes ventajas y una seguridad gestionada por expertos que siempre está actualizada.

La seguridad de red se logra gracias al funcionamiento conjunto de componentes robustos. Deben utilizarse firewalls y mecanismos de control resistentes para mantener a raya a los intrusos. Además, se debe aplicar la segmentación de la red para limitar los movimientos laterales de los usuarios y de los posibles intrusos que consigan eludir los controles de acceso. Lo ideal es que el acceso a todas las aplicaciones, independientemente de si están dentro de la red, alojadas en la nube o sujetas a un plan de saas, se combine con los principios de Zero trust, de tal forma que se comprueben continuamente los identificadores de usuario, el estado de los dispositivos y otros parámetros esenciales antes de permitir el acceso cifrado a la aplicación. Zero Trust Network Access (ZTNA) también vela por que cada usuario solamente tenga acceso a las aplicaciones que necesite, con el fin de evitar la acumulación gradual de privilegios.

Conclusión

El sector educativo se enfrenta a un torrente de amenazas debido a los ciberdelincuentes que intentan acceder a sus redes con el fin de lucrarse. El malware, el ransomware y todos los demás tipos de ciberataques están sembrando el caos en las instituciones educativas. Una cosa es segura: el momento adecuado para protegerse contra estas amenazas es ya mismo.

La seguridad de red parece una tarea complicada porque lo es. Pero se puede conseguir un nivel de seguridad razonable que le permita enfrentarse satisfactoriamente a todas estas amenazas. Y lo mejor de todo es que esta seguridad puede estar basada en la nube y ser sencilla de implantar y mantener. De este modo, se reduce la carga de trabajo del ya saturado personal informático y se proporciona a las instituciones educativas una solución rentable para asegurarse de que la seguridad esté actualizada en todo momento.

Autor: Miguel López, Country Manager, Barracuda Iberia