Las universidades siguen siendo uno de los principales objetivos de los hackers y ladrones de identidad. Sin embargo, impedir que los delincuentes accedan a datos confidenciales no ha sido tarea fácil para las instituciones educativas. La gran cantidad y variedad de datos en las extensas redes universitarias dificulta enormemente la protección de la organización frente a los ciberataques. Además, los valores y las prioridades de las universidades a menudo les impiden ser conscientes de la verdadera amenaza a sus valiosos datos. En 2015, casi el 25 % de las 557 universidades estatales de Estados Unidos eran vulnerables a una filtración de datos, muchas de ellas sin ser conscientes de su vulnerabilidad. A medida que la tecnología continúa evolucionando, también lo hace la lucha entre el sector educativo y los ciberdelincuentes.
Una amenaza compleja
Proteger a las universidades de las filtraciones de datos presenta muchas dificultades. Las redes de las instituciones educativas podrían considerarse un tesoro para ladrones avariciosos que buscan datos como los siguientes:
- Tarjetas de crédito e información bancaria
- Números de seguridad social y otros datos de identidad personal
- Propiedad intelectual
- Investigación privada
- Registros médicos:
Con decenas de miles de registros almacenados cada año, acceder a la infraestructura de una universidad supone una gran ventaja para los hackers que venden información en el mercado negro. Al igual que proteger una gran red corporativa o sanitaria, proteger un registro universitario se vuelve cada vez más complejo a medida que crece el tamaño de la organización y las personas entran y salen de la red. Sin embargo, lo que hace única la amenaza de las filtraciones de datos en las universidades es su fomento de una cultura abierta e interactiva.
Las universidades suelen operar con lo que la mayoría en el sector de la seguridad de datos denominaría una política de seguridad flexible y rara vez cuentan con políticas centrales sólidas y seguras. Estudiantes, profesores y otras personas vienen de todas partes con sus propios dispositivos y esperan poder acceder a la red universitaria para intercambiar información. Sin un control estricto sobre quién accede a la red de la institución, cuándo lo hace o con qué dispositivos, las universidades tienen dificultades para detectar actividades maliciosas antes de que sea demasiado tarde.
Soluciones desafiantes
Si bien la respuesta más obvia para mejorar la seguridad de los datos suele ser implementar políticas más estrictas y un control más estricto del acceso a la red, esta solución no funciona del todo bien en las universidades. Con tantos departamentos involucrados, mantener y aplicar prácticamente cualquier política de seguridad se vuelve mucho más difícil. La resistencia a las restricciones por parte del profesorado y el alumnado suele ser un obstáculo aún mayor para establecer una mejor seguridad de los datos en las universidades. La necesidad de acceder a recursos en línea en las instituciones educativas a menudo conlleva la falta de procedimientos de seguridad y genera deficiencias en la protección de datos en toda la organización.
En lo que respecta al procesamiento de pagos y la seguridad de los datos, las compañías de tarjetas, los bancos y el Consejo PCI presionan a las instituciones educativas para que refuercen la seguridad de sus datos de pago. Algunas universidades, como James Madison en Virginia, han creado un comité PCI que supervisa y centraliza los esfuerzos de la institución para garantizar el cumplimiento normativo en todos los departamentos y oficinas que aceptan pagos con tarjeta. Sin embargo, la dificultad de mantener el cumplimiento de la normativa PCI en todos los campus resulta inmensa debido al gran volumen de transacciones y a los importes totales.
Los desarrollos continúan
No cabe duda de que la ciberseguridad en las universidades debería ser un área de gran preocupación. Sin embargo, muchas instituciones educativas aún no saben cómo proteger sus datos en un panorama tecnológico en constante evolución. Incluso grandes universidades como Penn State, que sufrió un ataque informático en 2015, suelen quedar expuestas a amenazas de seguridad de datos durante años sin siquiera saberlo. Ahora, soluciones como P2PE ofrecen a las universidades la oportunidad de minimizar sus riesgos protegiendo la información de las tarjetas de crédito mediante el cifrado en el punto de venta (TPV) y evitando que se exponga como datos de texto sin cifrar en la red universitaria. Desarrollos como P2PE, que reducen el alcance de la responsabilidad de la universidad sobre los datos, son herramientas invaluables para proteger a las instituciones de ataques potencialmente devastadores.
Al priorizar la protección de la información personal potencialmente más sensible, los datos financieros, las universidades están dando un gran primer paso para mejorar la ciberseguridad del campus. Si bien las opciones para limitar el hardware y el software de estudiantes y profesores son escasas o nulas, las universidades deben seguir aprovechando la tecnología más segura para su infraestructura. Con el tiempo, convertir la seguridad de los datos en un esfuerzo constante y una práctica valorada resultará ser la mejor decisión para las universidades.