¿Qué están haciendo las universidades para defender su ciberespacio?

La piratería es un problema creciente a nivel mundial y los ataques a todas las organizaciones, incluidas las universidades del Reino Unido, continúan aumentando. Entonces, ¿qué está haciendo el sector de la educación superior para combatir el problema?
Una nueva encuesta * indica que los presupuestos de seguridad cibernética de las universidades están aumentando rápidamente, pero la inversión por sí sola no es suficiente para abordar el problema.
Sensibilizar sobre las amenazas, cómo son y qué hacer al respecto es una defensa clave en la lucha por proteger el ciberespacio, y el sector de la educación superior está avanzando a buen ritmo en este punto. Sin embargo, también hay otras dificultades que superar.
Las investigaciones más recientes muestran que, aunque la mayoría de las universidades ofrecen capacitación para el personal en materia de concienciación sobre la seguridad de la información, menos de la mitad capacita a los estudiantes. Mientras tanto, algunas universidades informan dificultades para contratar personal con las habilidades adecuadas y se quejan de que no hay suficiente apoyo para la seguridad cibernética por parte de los responsables de la toma de decisiones de alto nivel.
Estos hallazgos provienen de una encuesta realizada por Jisc, que opera la red de educación e investigación del Reino Unido, que brinda soporte a hasta 18 millones de usuarios. Si bien las universidades individuales son responsables de su propia defensa cibernética, el equipo de seguridad especializado de Jisc monitorea la red Janet y brinda servicios, asesoramiento y capacitación para ayudar a protegerla.
El nivel de amenaza y cómo abordarlo
Para poner el problema en contexto, las últimas cifras de Jisc muestran que, desde octubre de 2016, hubo 770 ataques distribuidos de denegación de servicio (DDoS) contra 176 organizaciones diferentes conectadas a Janet. El más desafortunado ha sido atacado en 59 ocasiones distintas.
Partiendo del principio de que la preparación es la clave para una defensa eficaz, el 82% de los encuestados utiliza experiencia externa para probar sus sistemas en busca de vulnerabilidades, aunque menos (51%) utilizan servicios de terceros para obtener información sobre amenazas actuales o emergentes.
El gerente de cumplimiento de seguridad cibernética de Jisc, John Chapman, dijo: «Con el panorama de amenazas en aumento, es cada vez más importante identificar dónde están las vulnerabilidades, mantener la tecnología actualizada y aplicar los últimos parches de seguridad a medida que estén disponibles».
La ingeniería social, especialmente los correos electrónicos de phishing (que pueden, por ejemplo, engañar a alguien para que realice una acción en particular o para que revele información confidencial), son las amenazas más comunes mencionadas por los encuestados, todas impulsadas por la falta de conciencia.
Por lo tanto, no es de extrañar que las principales prioridades de seguridad cibernética sean la protección y la prevención, y la capacitación del usuario final. La investigación de Jisc encontró que el 83% de las universidades brindan capacitación al personal, que es obligatoria en el 46% de los casos, pero solo el 40% capacita a los estudiantes y solo el 8% insiste en que los estudiantes tomen un curso.
John Chapman agregó: «Ser más consciente de amenazas específicas y mejorar la conciencia de los usuarios puede beneficiar a las instituciones al reducir su exposición a ataques que pueden tener serias implicaciones».
¿Por qué invertir en medidas de protección?
Los encuestados que sintieron que su universidad estaba bien protegida contra los ataques cibernéticos dijeron que la administración se tomó en serio el problema, con la inversión, los procesos, la tecnología y la capacitación adecuados. Se sintieron capaces de reaccionar rápidamente a los problemas, realizaron auditorías periódicas y, como resultado, registraron un número reducido de incidentes.
Por el contrario, las IES que sintieron que no estaban bien protegidas dijeron que la seguridad cibernética estaba en un lugar bajo en la lista de prioridades de la administración, que había una falta de inversión y que tenían problemas para contratar al personal adecuado.
Con un ejemplo real, John Chapman explica cómo no invertir en el área de la seguridad cibernética puede ser una economía falsa. Dijo: «Recientemente nos encontramos con una universidad que había invertido en un enfoque automatizado de Jisc para evaluación de vulnerabilidad, lo que significaba que podía comprender en unos minutos si alguno de los sistemas estaba en riesgo por el reciente ataque de WannaCry.
«A su vez, esto permitió que todo el personal de TI se retirara de la alerta un viernes por la tarde, lo que ahorró el gasto y la interrupción del trabajo durante el fin de semana para verificar manualmente que todos los sistemas de la propiedad se habían parcheado correctamente».
La encuesta encontró que el 72% de las universidades tenían personal dedicado a la seguridad cibernética y el 40% reservó dinero específicamente para la seguridad cibernética en 2015/2016, que se prevé que aumente al 58% en 2017/2018. En comparación con el nivel de gasto en ciberseguridad durante 2016/17, se espera que la cantidad media aumente en un 132% en 2017/2018.
Para ayudar a las universidades a medir dónde se encuentran en la escala de protección, existen varios estándares de seguridad cibernética reconocidos. Cyber ​​Essentials es la certificación más popular y el 20% de las universidades ya han obtenido esta acreditación, mientras que el 38% están trabajando para lograrlo y un 29% más lo está considerando.
En respuesta al 94% de los encuestados que están de acuerdo en que esto sería útil, Jisc está explorando la posibilidad de producir un sistema de clasificación de seguridad cibernética para sus miembros (universidades, colegios y establecimientos de investigación). Jisc ya se ha comprometido a ayudar a los miembros a evaluar mejor su posición en seguridad cibernética mediante el desarrollo de un servicio de auditoría de seguridad.
* La encuesta fue realizada por Jisc entre el 30 de marzo y el 6 de junio de 2017 y recibió 65 respuestas de 51 universidades.
Sobre Jisc
Jisc es la organización sin fines de lucro de servicios y soluciones digitales del Reino Unido para los sectores de educación superior y capacitación y habilidades. Nosotros:

• operar infraestructura y servicios digitales compartidos
• negociar acuerdos sectoriales con proveedores de TI y editores comerciales y
• Brindar asesoramiento confiable y asistencia práctica para universidades, colegios y proveedores de aprendizaje.

Para más información, contacta con el equipo de prensa: [email protected]