Gestión de los riesgos de seguridad en la enseñanza superior
Las instituciones de enseñanza superior se enfrentan a todo un reto en materia de ciberseguridad. Estas instituciones almacenan enormes volúmenes de datos relativos no sólo a sus estudiantes, sino también a sus profesores, antiguos alumnos, padres y donantes. Si una universidad sufre una violación, un solo expediente de un estudiante contiene una visión completa de su vida, incluidos datos demográficos, académicos, médicos y financieros. La amenaza es real. A principios de 2019, Georgia Tech reveló que fue blanco de un ciberataque contra la información personal de hasta 1,3 millones de estudiantes actuales y antiguos, empleados y futuros estudiantes. Aquí es donde entra en juego la gestión de la seguridad y el riesgo (SRM).
¿Qué es la gestión de riesgos de seguridad?
Según Gartner "La gestión de la seguridad y los riesgos (SRM) de próxima generación en la enseñanza superior se centra cada vez más en la confianza del usuario final y, por tanto, va más allá de los fundamentos de la resistencia y el control central. La creciente personalización hace hincapié en el uso ético de los datos que requiere el control y el consentimiento del profesorado, el personal y los estudiantes. Los líderes de SRM son facilitadores clave de este nuevo nivel de "negocio digital" personalizado". En otras palabras, se trata de un proceso continuo de identificación de riesgos de seguridad y de aplicación de planes para abordarlos. Y estos ataques no tienen consecuencias digitales. La sociedad digital es una mezcla del mundo virtual y físico. Por ejemplo, un ciberataque en una ac ería alemana provocó graves daños, ya que los atacantes accedieron a controlar el sistema de la acería y provocaron una explosión.
Cómo crear un SRM para la educación superior
El Instituto Ponemon, una empresa de investigación sobre ciberseguridad, informó de que cada registro perdido o robado costó a las instituciones educativas una media de 246 dólares el año pasado. Y eso no solo ocurre con los estudiantes, ya que las universidades funcionan como una pequeña ciudad, con departamentos de operaciones, investigación, sanidad, finanzas y transporte.
Una buena estrategia de SRM se centra en identificar las amenazas de mayor impacto. Según un artículo de Educause, existen tres tipos diferentes de categorías de amenazas/riesgos: Alto, Moderado y Bajo.
¿Por dónde empezar para crear un plan? En primer lugar, piense en la seguridad como un deporte de equipo. Gartner recomienda: "Implante políticas y prácticas de seguridad eficaces y ampliamente respaldadas en su institución mediante la creación de un grupo de planificación y gobernanza global. Debe estar compuesto por una variedad de partes interesadas, incluidos estudiantes, profesores, financieros, jurídicos y de RR.HH., que consideren programas para mitigar riesgos, generar confianza, proteger la privacidad de los estudiantes y utilizar los datos de forma ética."
A continuación, Gartner recomienda: "Identifique objetivamente los puntos fuertes y las lagunas de sus planes de seguridad actuales utilizando diversos marcos (como el Instituto Nacional de Normas y Tecnología, la Organización Internacional de Normalización/Comisión Electrotécnica Internacional 27001/27002, COBIT e ITIL) o proveedores externos para evaluar el estado actual de su programa."
Tercero, debes invertir en la formación de seguridad cibernética para los estudiantes, la facultad y el personal. No importa cuán estable y segura sea su red e infraestructura, siempre hay una cosa a considerar: el factor humano. El mejor ejemplo de esto es el phishing o su contraparte más sofisticada, el spear-phishing. Los pescadores submarinos a menudo se disfrazan como fuentes o entidades de confianza que piden una tarea sencilla, como pagar una factura o responder a un correo electrónico.
Gartner continúa recomendando "adoptar políticas de seguridad y privacidad que permitan a la facultad, al personal y a los estudiantes controlar qué datos personales se recogen y sobre qué bases legales se procesan".
Por último, debe evaluar las prácticas y los métodos actuales utilizados para reunir y almacenar datos institucionales.
Restricciones
Como ocurre con todos los asuntos relacionados con la enseñanza superior, la seguridad y la gestión de riesgos están sujetas a limitaciones. Desde la financiación limitada hasta la normativa y las leyes, pasando por la búsqueda del talento y la gobernanza adecuados. Son muchos los factores que hay que tener en cuenta a la hora de implantar un plan de gestión de riesgos de seguridad. Pero si estos factores no se tienen en cuenta y no se abordan, los ciberataques a las universidades serán cada vez más frecuentes y perjudiciales. Hacer frente a este reto requiere una planificación estratégica y una reflexión sobre la ciberseguridad.
Una solución es implantar un BPM para gestionar los flujos de trabajo y los procesos internos. Asegúrese de que su proveedor de software BPM también tiene la seguridad en mente. Debe tener planes claramente establecidos para el cifrado de datos, la autenticación de usuarios, la seguridad de las aplicaciones, la seguridad de los sistemas internos, la seguridad de los sistemas operativos, la seguridad de las bases de datos, la seguridad de la gestión de servidores, la fiabilidad y las copias de seguridad, y la recuperación en caso de desastre. Además, asegúrese de que su solución BPM cuenta con ingenieros y especialistas en seguridad experimentados y profesionales dedicados a la protección de datos y sistemas.
